이찬진 "해킹사고, CEO까지 엄중 책임 물을 것"

금융감독원이 금융권에서 해킹 사고가 잇따르자 은행에 이어 증권·보험사 최고경영자(CEO)에게도 보안 관리 책임을 엄중히 묻기로 했다. 보안 취약점을 방치해 사고가 발생한 금융회사에 매출액의 최대 3%를 과징금으로 부과하는 법 개정도 추진한다.

금융감독원은 3일 이찬진 원장이 임원회의를 열고 최근 금융권 해킹 사고에 따른 업권별 대응 현황을 점검하고 보안 강화 방안을 논의했다고 밝혔다. 이 원장은 최근 해킹 사고가 은행과 증권·보험사 등 전통 금융회사뿐 아니라 정보기술(IT) 보안이 취약한 전자금융거래법 미적용 업체까지 확산하고 있다고 진단했다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해까지 발생해 대비 태세 강화가 시급하다고 강조했다.

금감원은 앞서 금융권에 기본 보안 통제 미흡 사항을 보완하고 외부 접점을 통한 공격에 대비하도록 지도했다. 침해 사고가 본격화된 이후에는 전 금융권에 긴급 자체 점검을 실시하고 필수적인 경우를 제외한 외부 접근을 원칙적으로 차단하도록 했다. 그러나 가시적인 개선이 나타나지 않는 등 금융권의 이행이 충분하지 않다고 평가했다.

이에 이 원장은 사고가 발생한 금융회사를 대상으로 기존 보안 유의사항과 자체 점검이 제대로 이뤄졌는지 면밀히 살펴보라고 지시했다. 특히 종합금융투자사업자와 보험사 등 대형 금융회사에도 앞서 밝힌 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중하게 물을 방침이다. 기본적인 보안 통제가 미흡하거나 형식적인 점검으로 사고가 발생했다면 경영진의 역할과 책임을 따져보겠다는 것이다.

제재 수단 강화도 추진한다. 금감원은 보안 통제 부실이나 취약점 방치로 해킹 사고가 발생한 경우 매출액의 3%에 해당하는 징벌적 과징금을 부과할 수 있도록 지난해 11월 발의된 전자금융거래법 개정안의 조속한 국회 통과를 지원하기로 했다.

법 개정 전에는 감독분담금을 사고 발생 여부 등에 따라 차등 부과하는 방안도 검토한다. 금융회사의 보안 관리 수준에 따라 감독 비용 부담을 달리해 보안 투자 유인을 높이려는 취지다.

추가 사고 예방을 위해 금융권의 외부 접점도 전수 점검한다. 대부업·가상자산업·온라인투자연계금융업 등 전자금융거래법 미적용 업체까지 점검 대상에 포함한다. 고객과 금융회사 재산을 취급하는 시스템에 연결된 외부 접점을 우선 점검하고 취약점이 해소되기 전까지는 원칙적으로 외부 접근을 차단하도록 했다.

금감원은 전문 IT 인력을 동원해 점검 이행 여부를 사후 확인하고 형식적인 점검에 그친 금융회사는 엄중 조치할 방침이다. IT 보안 전담 조직 신설과 전문 인력 확충도 추진한다.

이 원장은 "CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존 전략임을 명확히 인식해야 한다"며 내년도 보안 예산과 인력 확충에 앞장설 것을 주문했다.