금융위, 금융권 580여개사 보안 전수점검…CEO 책임 강화 추진

[경제일보] 금융위원회가 최근 잇따른 금융권 해킹 사고에 대응해 은행·증권·보험사를 비롯한 금융권 580여개사의 정보기술(IT) 시스템을 전수점검한다. 대형 금융회사의 보안 취약점 점검 횟수를 확대하고 인공지능(AI)을 활용한 보안체계 구축을 위해 망분리 규제 개편도 추진한다.

5일 금융권에 따르면 금융위는 이날 이억원 금융위원장 주재로 서울 영등포구 금융보안원에서 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 금융권 보안 강화 및 제도 개선 방안을 논의했다.

금융위에 따르면 지난 9월 30일부터 11월 3일까지 금융권 37개사에서 총 40건의 침해사고가 신고됐다. 정보유출 규모는 약 47만3000건으로 집계됐다.

일부 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 약 10억원 규모의 자금탈취 사고도 발생했다. 다만 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 확인되지 않았으며 개별 이용자의 직접적인 자금손실도 아직 현실화하지 않은 것으로 파악됐다.

금융위는 우선 전 금융권 약 580여개사를 대상으로 외부접점과 내부통제체계 운영실태를 전수점검할 계획이다. 기존 금융회사뿐 아니라 전자금융업자와 온라인투자연계금융업자, 가상자산사업자 등도 점검 대상에 포함된다.

점검 범위는 홈페이지 등 대고객 서비스뿐 아니라 △직원관리 △내부업무 △제휴업무 등 외부에서 접근할 수 있는 모든 시스템이다. 인증·접근통제 체계와 응용프로그램인터페이스(API), 개발·테스트 시스템 등도 살펴본다.

고객이나 금융회사의 금전 피해 또는 개인정보 유출로 이어질 수 있는 중요한 취약점이 발견되면 해당 서비스를 즉시 중단하고 외부 접근을 차단해야 한다. 서비스 유지가 불가피한 경우에는 대체통제 체계를 마련하고 최고 경영자(CEO)의 승인을 받아야 한다.

금융회사가 자체점검을 실시하되 점검 내용이 부실하거나 중대한 취약점이 확인되면 금감원과 금융보안원이 현장점검에 나설 계획이다. CEO와 최고정보보호책임자(CISO) 등 주요 경영진의 보안관리 역할과 책임도 점검한다.

관리대장에 등록된 시스템의 외부접점 점검은 이달 30일까지 마무리할 예정이다. 미등록 시스템과 내부통제체계 전반에 대한 조사는 다음 달 31일까지 진행한다. 내년 1분기에는 '보안 내부통제 가이드라인'을 마련해 시행할 계획이다.

금융권의 상시 보안점검 제도도 강화한다. 현재 금융회사는 외부기관으로부터 연 1회 이상 전산시스템 취약점 분석·평가를 받도록 돼 있다. 금융위는 대형 금융회사부터 점검 횟수를 연 2회로 확대하고 모든 외부접점을 평가 대상에 포함할 방침이다.

이를 위해 이달 중 전자금융감독규정 개정안을 변경 예고할 계획이다. 중요한 보안 취약점을 장기간 방치한 금융회사에 시정명령을 내리고 미이행 시 이행강제금을 부과하는 방안도 관련 법 개정을 통해 추진한다.

금융권의 해킹 위협정보 공유체계도 확대한다. 대형 금융회사가 자체적으로 파악한 공격 방식과 악성코드, 취약점 정보 등을 금감원 통합관제시스템(FIRST)을 통해 다른 금융회사에 신속히 전파하는 방식이다. 다음달 시범운영을 거쳐 내년 1분기 전 금융권으로 확대할 계획이다.

보안 역량이 상대적으로 부족한 중소형 금융회사에는 AI를 활용한 취약점 탐색과 개선방안을 제공하는 '원스톱 AI 방어서비스' 등을 다음 달부터 순차적으로 지원한다.

정보유출에 따른 2차 피해 방지 대책도 마련했다. 다크웹과 텔레그램 등에서 개인정보가 불법 유통되는지 상시 감시하고 유출 사실이 확인되면 해당 금융회사를 통해 고객 통지와 피해 예방 조치 등을 진행할 예정이다.

보이스피싱 대응에는 AI를 활용한다. 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 'ASAP'에 의심거래의 위험도를 0~100점으로 산출하는 '피싱지수'를 이달부터 시범 도입한다. 금융회사가 범죄 의심거래를 조기에 파악하고 지급정지 등 필요한 조치를 취할 수 있도록 지원하는 방식이다.

금융회사가 보이스피싱 피해금의 일정 부분을 배상하도록 하는 무과실책임 제도도 추진한다. 금융위는 현재 국회에 계류 중인 통신사기피해환급법 개정안의 입법을 지원하고 보상 대상과 한도, 면책 범위 등 세부 요건을 마련할 계획이다.

AI 기반 보안체계 구축을 위한 규제 개편도 진행한다. 금융위는 '망분리 규제 전면해제 태스크포스(TF)'를 가동해 데이터 관리와 제로트러스트 등 대체 보안수단, 경영진의 책임 및 사고 대응체계 등을 논의할 예정이다.

현재 긴급조치 형태로 운영되는 보안 목적의 AI·서비스형 소프트웨어(SaaS) 활용 관련 망분리 규제 완화는 상시 제도화한다. 생성형 AI와 블록체인 등 새로운 기술의 활용을 위한 규제 완화도 혁신금융서비스 제도를 통해 추진할 방침이다.

아울러 가상자산사업자와 보험대리점(GA) 등에도 전자금융거래법에 준하는 보안규율을 적용하는 내용의 '디지털금융 안전법' 마련에 나선다. 클라우드 사업자와 플랫폼 등 금융회사와 연결된 제3자에 대한 보안규율도 검토하며 내년 1분기 중 법안 마련을 추진할 계획이다.

이억원 금융위원장은 "최근 잇따른 금융권 침해사고는 보안체계 전반을 근본적으로 전환해야 한다는 엄중한 경고"라며 "작은 보안 취약점도 금융시스템의 신뢰를 훼손할 수 있는 만큼 기존 보안관리 방식과 관행을 전면 쇄신해야 한다"고 말했다.