[딜사이트 임초롱 기자] 금융감독원이 증권사와 보험사 등 대형 금융회사에서 해킹 사고가 발생하면 최고경영자(CEO)를 비롯한 경영진의 책임까지 엄중하게 묻기로 했다. 기본 보안 통제가 부실하거나 취약점을 방치해 사고가 발생한 경우 매출액의 3%를 징벌적 과징금으로 부과할 수 있도록 법 개정도 추진한다.

이찬진 금감원장은 3일 임원회의에서 최근 금융권 해킹사고와 관련한 업권별 대응 현황을 점검하고 IT 보안 강화 방안을 논의했다.

최근 해킹 사고는 은행과 증권·보험 등 전통 금융회사뿐 아니라 IT 보안이 취약한 전자금융거래법 미적용사까지 전방위적으로 확대되고 있다. 가상자산사업자와 온라인투자연계금융업자 등에서는 금전 피해까지 발생했다.

금감원은 그동안 통합관제시스템(FIRST) 등을 통해 기본 보안 통제 미흡점 보완과 외부 접점 악용 주의, AI 에이전트 기반 사이버 공격 유의 등을 금융권에 전파했다. 침해 사고가 본격화된 이후에는 금융권 전체에 긴급 체크리스트를 활용한 자체 점검을 요구했지만 이행이 충분하지 못하다고 판단했다.

이에 금감원은 사고가 발생한 금융회사를 대상으로 기존에 배포한 유의사항에 따른 자체 점검이 적정하게 이뤄졌는지 면밀하게 살펴보기로 했다. 특히 종합금융투자사업자와 보험사 등 대형 금융회사의 경우 기존에 밝힌 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중하게 물을 방침이다.

금감원이 IT 기본 통제 자체 점검과 보안 취약점에 대한 신속한 조치 등을 지속적으로 지도했는데도 기본 통제가 미흡하거나, 점검이 형식적으로 이뤄져 사고가 발생한 경우 경영진 역할의 적정성 등을 살펴보고 엄중 조치한다.

징벌적 과징금 도입도 추진한다. 기본 통제 부실이나 보안 취약점 방치 등으로 해킹 사고가 발생한 경우 매출액의 3%를 징벌적 과징금으로 예외 없이 부과할 수 있도록 전자금융거래법 개정안의 신속한 통과를 추진하기로 했다.

관련 전금법 개정안은 지난해 11월 발의됐다. 금감원은 법안의 신속한 통과를 위해 국회 등과 적극적으로 협조·소통할 계획이다.

특히 금감원은 법 개정 전이라도 금융회사의 보안 강화를 유도할 수 있는 방안을 모색한다. 감독분담금을 수익자 부담 원칙에 따라 사고 발생 여부 등을 고려해 차등 부과하는 방안 등이 검토 대상이다.

금융권 외부 접점에 대한 전수점검도 실시한다. 보험대리점(GA)과 대부업, 가상자산업, 온라인투자연계금융업 등 전금법 미적용사를 포함한 금융권의 외부 접점을 모두 살펴볼 방침이다. 우선적으로는 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 공격시 금전 피해가 발생할 가능성이 있는 외부 접점을 점검한다. 취약점이 발견된 경우 원칙적으로 문제가 해소될 때까지 외부 접근을 차단하도록 할 계획이다.

금감원 IT 전문인력도 총동원한다. 외부 접점 점검 이후 실제 이행 여부를 사후 확인하고 자체 점검이 형식적으로 이뤄진 것으로 확인되면 엄중 조치하기로 했다. 금감원 자체 IT 보안 감독·검사 역량도 강화한다. 금융권 IT 보안에 대한 실질적인 감독·검사가 이뤄질 수 있도록 보안 전담 조직을 신설하고 IT 전문인력을 확충할 방침이다.

이 원장은 "CEO를 비롯한 경영진과 이사회가 IT 안전성을 확보하는 것이 고객 신뢰 확보의 근간이자 핵심 생존 전략임을 명확히 인식하고 내년도 보안 예산·인력 확충 등에 앞장서야 한다"고 강조했다.