이찬진 "해킹 사고 발생 증권·보험사, CEO에 책임 물을 것"

금융감독원이 최근 동시다발적 금융권 해킹사고와 관련, 전 금융권에 외부접점을 전수점검할 것을 지시했다. 또 사고가 발생한 증권사와 보험사 등 대형금융사는 조치가 미흡했다고 판단될 경우 은행권과 마찬가지로 CEO 등 경영진에게 책임을 물을 방침이다.

3일 금융감독원에 따르면 이찬진 원장은 이날 열린 임원회의에서 최근 금융권 해킹사고와 관련한 업권별 대응현황을 점검하고 IT보안강화방안을 논의했다.

지난달초 금융권 해킹 침해 사고가 처음 알려진 이후 한 달이 흐른 현재까지도 침해사고는 끊이지 않고 발생하고 있다.

은행에서 침해 사고가 드러난 이후 증권과 보험 등 전통금융회사뿐만 아니라, IT보안이 취약한 전자금융거래법 미 적용회사에서도 침해 사고가 발생했다.

특히 코인을 취급하는 가상자산사업자와 대출을 다루는 온라인투자연계금융업자에서는 실제 금전 피해까지 발생했다.

금감원은 침해사고가 본격화된 직후 잠재위험요인을 최소화하고, 필수불가결한 경우를 제외하고 외부접근을 원칙적으로 차단했지만 가시적인 변화가 나타나지 않는 등 금융권의 이행이 충분하지 못한 상황이라고 현 상황을 진단했다. 이 때문에 침해 사고가 멈추지 않고 있다는 것이다.

이찬진 원장은 이와 관련, "AI를 악용한 사이버공격이 전방위적, 동시다발적, 상시적으로 발생하고 있는 현실에서 금융회사 스스로 보안위협과 취약점을 선제적으로 식별대응하는 전사적 차원의 자율보안체계를 조속히 확립하는 것이 무엇보다 중요하다"고 말했다.

이어 "CEO를 비롯한 경영진과 이사회가 IT안전성을 확보하는 것이 고객신뢰확보의 근간이자 핵심 생존전략임을 명확히 인식하고 내년도 보안 예산·인력확충 등에 앞장서야 한다"고 강조했다.

금감원에는 AI로 진화하는 사이버위협에 상응하는 실질적인 보안강화가 이뤄지도록 감독역량을 집중해야 한다고 주문했다.

그러면서 우선 사고발생회사에 대해서는 기배포 유의사항, 자체점검 등이 적정하게 이뤄졌는지 살펴보고, 특히 종합금융투자사업자, 보험사 등 대형금융회사의 경우 기존에 밝혔던 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중하게 물을 것을 지시했다.

이어 기본통제부실, 보안취약점방치 등으로 해킹사고가 발생한 경우 매출의 3%에 해당하는 징벌적 과징금을 예외없이 부과할 수 있도록 지난해 11월 발의된 전자금융거래법 개정안의 신속한 통과를 위해 국회 등과 적극 협조·소통할 것을 주문했다.

이와 함께 추가사고방지를 위해 GA, 대부업,·가상자산업, 온투업 등 전금법 미 적용사를 포함한 전 금융권의 외부접점을 전수점검하도록 하고, 실효성 확보를 위해 금감원 IT전문인력을 총동원하여 이행여부를 사후 확인할 것을 지시했다.

점검 과정에서는 금전피해가 발생할 가능성이 있는 외부접점은 우선점검하되, 원칙적으로 취약점 해소전까지는 외부접근을 차단하도록 하도록 했다.

또 금융권 IT보안강화를 위한 실질적인 감독과 검사가 이루어질 수 있도록 보안전담조직 신설, IT전문인력 확충 등을 추진할 것을 금감원에 지시했다.