이찬진 원장 "해킹 사고, CEO에 책임…매출 3% 과징금 부과"

내년도 예산·인력확충 당부…감독 분담금 차등 부과 검토

이찬진 금융감독원장 [사진=금감원]

금융감독원이 금융권 해킹 사고를 막기 위해 금융회사 외부접점 전수점검에 나선다. 기본적인 보안통제가 미흡해 사고가 발생하면 최고경영자(CEO)를 비롯한 경영진에게도 책임을 묻고 매출액의 최대 3%에 해당하는 징벌적 과징금 부과도 추진한다.

이찬진 금감원장은 3일 임원회의에서 최근 금융권 해킹 사고와 관련한 업권별 대응 현황을 점검하고 정보기술(IT) 보안 강화 방안을 논의했다.

금감원은 최근 해킹 사고가 은행뿐 아니라 증권·보험 등 전통 금융회사와 전자금융거래법 적용을 받지 않는 업체로까지 확산하고 있다고 진단했다. 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해도 발생한 만큼 대응 수위를 높여야 한다는 판단이다.

이 원장은 금융회사가 보안 위협과 취약점을 스스로 식별하고 대응하는 전사적 자율보안체계를 조속히 구축해야 한다고 강조했다. 최고경영자(CEO)를 비롯한 경영진과 이사회가 IT 안전성 확보를 고객 신뢰의 기반이자 핵심 생존전략으로 인식하고 내년도 보안 예산과 인력 확충에 앞장서야 한다는 주문이다.

금감원은 우선 해킹 사고가 발생한 회사에 대해 기존에 배포한 보안 유의사항과 자체점검이 제대로 이뤄졌는지 살펴보기로 했다. 특히 종합금융투자사업자와 보험사 등 대형 금융회사에서 사고가 발생하면 은행권에 적용하기로 한 검사·제재 방침과 마찬가지로 CEO 등 경영진의 책임까지 엄중하게 따질 계획이다. 기본 보안통제 점검과 취약점 개선을 지속적으로 지도했는데도 형식적인 점검이나 통제 미흡으로 사고가 발생했다면 경영진의 역할이 적정했는지 들여다본다는 방침이다.

보안 의무를 소홀히 한 금융회사에 대한 제재도 강화한다. 기본통제 부실이나 보안 취약점 방치로 해킹 사고가 발생한 경우 매출액의 3%까지 징벌적 과징금을 부과할 수 있도록 하는 전자금융거래법 개정안의 국회 통과를 추진한다. 해당 개정안은 지난해 11월 발의됐다.

법 개정 전에도 금융회사의 보안 강화를 유도할 수 있는 방안을 마련한다. 사고 발생 여부 등에 따라 감독분담금을 차등 부과하는 방안도 검토하기로 했다.

추가 사고를 막기 위해 전 금융권의 외부접점도 전수점검한다. 은행·증권·보험사뿐 아니라 법 적용 대상에서 제외된 법인보험대리점(GA), 대부업체, 가상자산사업자, 온투업자 등도 점검 대상에 포함한다. 금감원 IT 전문인력을 총동원해 점검 이행 여부를 확인하고, 형식적인 점검에 그친 경우 엄중 조치할 방침이다.

특히 고객과 금융회사 자산을 취급하는 시스템에 연결돼 공격 시 금전 피해로 이어질 수 있는 외부접점을 우선 점검한다. 취약점이 해소되기 전까지는 원칙적으로 외부 접근을 차단하도록 할 계획이다.

금감원은 금융권 IT 보안에 대한 감독·검사 역량을 높이기 위해 보안 전담조직을 신설하고 IT 전문인력도 확충하기로 했다.