금융위, 금융권 해킹 대응 강화…징벌적 과징금 도입 추진

금융위원회가 최근 잇따른 금융권 해킹 사고에 대해 강도 높은 대응책을 내놨다. 보안 사고 재발을 막기 위해 징벌적 과징금 제도 도입 등 강력한 결과책임제를 추진한다. 금융회사가 일상적으로 보안 관리에 집중할 수 있도록 최고정보보호책임자(CISO)의 권한을 강화하고, 소비자 공시 의무 확대 등 제도 개선을 병행한다.

이어 불가피하게 해킹 사고가 발생하더라도 금융회사가 신속히 시스템을 복구하고 피해자 보호에 나설 수 있도록 관련 제도 개선도 발굴·추진한다는 방침이다.

권대영 금융위 부위원장은 19일 서울 종로구 정부서울청사에서 열린 해킹 대응을 위한 ‘과기정통부-금융위 합동 브리핑’에서 “해킹 기술과 수법이 IT 발전과 함께 더 정교하고 교묘하게 진화하고 있으나, 금융권의 대응은 이를 따라가지 못하는 측면이 있다”며 “보안 투자를 불필요한 비용이나 부차적 업무로 치부하는 안이한 자세가 있었는지 냉정히 되돌아봐야 할 시점”이라고 밝혔다.

금융위는 이번 사태를 계기로 금융회사에 대한 긴급 점검과 근본적 제도 개선에 착수한다는 계획이다. 금융회사 대표이사(CEO) 책임하에 전산 시스템과 정보보호 체계를 전면 점검하고, 금융감독원과 금융보안원을 통해 결과를 면밀히 지도·감독할 예정이다.

권 부위원장은 “인공지능(AI) 선도국가로 도약하는 과정에서 해킹 사고라는 암초에 걸리지 않기 위해 정부·금융회사·유관기관이 함께 보안 체계를 공고히 해야 한다”며 “국민들이 안심할 수 있도록 사태 수습과 근본적 제도 개선 방안 마련에 만전을 기하겠다”고 강조했다.

이날 현장 질의에서는 롯데카드 유출 이틀 전 금보원으로부터 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)를 획득한 사실이 거론됐다. 정부가 공인한 보안인증을 거쳤음에도 유출 사고가 발생한 것에 대해 감독이 허술했다는 지적이다. 금융당국이 징벌적 과징금 도입 방안을 논의하고 있지만, 심사 기관도 책임을 지는 방향이 필요하다는 의견도 함께 나왔다.

이에 대해 권기남 금보원 사이버대응본부장은 “ISMS-P는 기업이 정보보호관리체계를 갖추고 있다는 인증일 뿐, 악성코드나 해킹으로부터 완전히 안전하다는 의미는 아니다”라며 “정보보호관리체계 인증을 받은 기업도 해킹이 발생할 수 있다는 점을 인식해야 한다”고 설명했다.

이어 권 본부장은 “보안 패치가 이뤄지지 않아 해당 취약점을 통해 악성코드가 침투하면서 사고가 발생한 것이 맞다”며 “추가적인 문제점들은 조사 과정에서 상세히 점검하고, 이후 롯데카드와 협의해 보완해 나가겠다”고 밝혔다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network