이찬진 “해킹 사고, CEO 책임 물을 것”...금융사 제재 강화

▲이찬진 금융감독원장.

금융권을 겨냥한 해킹 공격이 업권 전반으로 번지자 금융당국이 최고경영자(CEO)를 포함한 경영진의 책임을 강화하기로 했다. 대형 금융회사에서 보안 사고가 발생하면 사전 점검과 보안 통제 의무를 제대로 이행했는지 따져 경영진에게 책임을 묻겠다는 방침이다. 보안 취약점을 방치해 사고로 이어진 회사에는 매출액의 최대 3%에 해당하는 징벌적 과징금을 부과하는 방안도 추진한다.

이찬진 금융감독원장은 3일 임원회의에서 금융회사들의 보안 대응이 여전히 미흡하다고 지적했다. 전 금융권에 긴급 점검과 외부 접속 차단을 주문했지만 현장에서 요구 수준을 충족하지 못하고 있다는 판단이다. 특히 대형 금융회사에는 은행권과 같은 수준으로 CEO 책임을 적용하겠다는 뜻을 밝혔다.

금감원은 사고가 발생한 금융회사가 당국의 보안 유의사항과 자체 점검 지침을 실제로 이행했는지 들여다볼 계획이다. 이 원장은 “CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존전략"이라고 강조했다. 경영진이 정보기술(IT) 보안을 전사적인 경영 과제로 인식하고 내년도 예산과 인력 배분에 반영해야 한다는 주문이다.

금융권 외부 접점에 대한 전수 점검도 진행한다. 법인보험대리점(GA) 등 전자금융거래법 적용 대상이 아닌 업체까지 점검 범위에 포함하고, 금감원 IT 전문인력이 후속 조치를 제대로 이행했는지 확인하기로 했다. 공격에 노출될 경우 자금 유출 등 직접적인 피해로 이어질 수 있는 접속 경로부터 살피고, 보안 취약점이 해소되기 전까지는 외부 접근을 차단하도록 했다.

최근 증권사와 보험사에서 침해 신고가 이어지는 가운데 가상자산사업자와 온라인투자연계금융업자(온투업자)에서도 해킹에 따른 금전 피해가 발생했다. 이들 업체 상당수는 전자금융거래법의 적용을 받지 않아 보안 관리 사각지대에 놓여 있다는 지적도 나온다.

실제 지난달 8일까지 금융권 자체 점검에서 16개사의 개인정보 약 10만건이 유출된 것으로 파악됐다. 이후에도 증권·보험업권에서 추가 신고가 접수되면서 피해 규모가 더 커질 수 있다는 우려가 나온다.

제재 수위도 높아질 전망이다. 금감원은 기본적인 보안 통제를 소홀히 하거나 취약점을 방치한 탓에 사고가 발생한 금융회사에 매출액의 3%까지 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정안의 국회 통과를 지원할 방침이다. 법 개정이 이뤄지기 전에도 감독 분담금을 사고 발생 여부와 책임 정도에 따라 차등 적용하는 방안을 검토한다.

이 원장은 법 개정 이전부터 금융회사들의 보안 투자를 유도할 수 있도록 감독 분담금 체계 등 가용한 수단을 폭넓게 살피겠다고 밝혔다. 금감원 내부에는 IT 보안 전담 조직을 신설하고 전문 인력을 보강해 검사와 감독 역량도 확충할 계획이다.

송재석 기자 mediasong@ekn.kr