이찬진 "금융사 CEO 보안책임 확대"… 매출 3% 징벌적 과징금 추진

금융사의 정보기술(IT) 보안 책임이 경영진으로 확대된다. 금융당국이 반복되는 해킹 사고에 대응해 종합금융투자사업자(종투사)와 보험사 등 대형 금융사의 최고경영자(CEO)에게 직접 책임을 묻기로 했다. 보안 취약점을 방치하거나 기본적인 통제 의무를 소홀히 한 금융회사에는 매출액의 최대 3%에 달하는 징벌적 과징금도 추진한다.

이찬진 금융감독원장은 3일 오전 임원회의에서 "전 금융권이 자체 긴급 체크리스트 점검을 하고 외부 접근을 원칙적으로 차단하도록 했지만, 금융권 이행이 충분하지 못하다"고 지적했다.

최근 해킹 사고가 증권·보험 등 전통 금융회사뿐 아니라 가상자산사업자와 온라인투자연계금융업자(온투업자) 등으로 확산하는 점도 문제로 꼽힌다. 특히 전자금융거래법 적용을 받지 않는 업권에서도 금전 피해가 발생하면서 금융권 전반의 보안 관리 체계를 강화해야 한다는 목소리가 커지고 있다.

실제 지난달 8일까지 전 금융권의 자체 체크리스트 점검 결과 16개사에서 개인정보 약 10만건이 유출된 것으로 확인됐다. 이후에도 보험사와 증권사 등에서 침해 사고 신고가 이어졌으며 가상자산업과 온투업에서는 금전 피해까지 발생했다.
금감원은 우선 해킹 사고가 발생한 금융회사의 기존 보안 유의사항 이행 여부와 자체 점검 실태를 살펴볼 계획이다. 특히 대형 금융사에는 은행권과 마찬가지로 CEO를 비롯한 경영진의 책임을 묻겠다는 방침이다.

이 원장은 "CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존전략"이라고 강조했다. 금융회사들이 내년도 보안 예산과 인력을 확충하고 전사적인 자율보안 체계를 확립해야 한다는 주문이다.

제재 체계도 강화한다. 기본통제가 부실하거나 보안 취약점을 방치해 해킹 사고가 발생한 금융회사에는 매출액의 3%에 달하는 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정안 통과에 협조할 계획이다.

법 개정 전에도 금융회사의 보안 책임을 강화하는 방안을 마련한다. 사고 발생 여부 등을 고려해 감독 분담금을 차등 부과하는 방안이 대표적이다.

이 원장은 "법 개정 전이라도 감독 분담금을 수익자 부담 원칙에 근거해 사고 발생 등에 따라 차등 부과하는 등 금융회사 보안 강화를 촉진하기 위한 방안을 다각적으로 모색하겠다"고 밝혔다.
금융권 외부 접점에 대한 전수 점검도 실시한다. 법인보험대리점(GA) 등 전자금융거래법 미적용사를 포함해 금융권 전반의 외부 접점을 살피고, 금감원 IT 전문인력을 투입해 점검 결과의 실제 이행 여부까지 확인할 예정이다.

금전 피해로 이어질 가능성이 있는 외부 접점을 우선 점검하고, 보안 취약점이 해소될 때까지는 원칙적으로 외부 접근을 차단하도록 했다. 이와 함께 금융권 IT 보안에 대한 감독·검사 역량을 높이기 위해 보안 전담 조직을 신설하고 전문인력 확충도 추진한다.


최한결 글로벌이코노믹 기자 gksruf0615@g-enews.com