[딜사이트 한영훈 기자] 금융당국이 금융회사와 전자금융업자, 가상자산사업자 등 약 580개사의 보안체계를 연말까지 전수점검한다. 개인정보 유출이나 금전피해로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스를 즉시 중단하고, 보안관리 부실로 사고가 발생하거나 피해가 확대된 경우 최고경영자(CEO)를 포함한 경영진의 책임을 엄정하게 묻기로 했다.

금융위원회는 5일 이억원 위원장 주재로 전 금융권 협회장과 관계기관이 참석한 간담회를 열고 이 같은 내용을 담은 '전 금융권 보안체계 혁신방안'을 발표했다.

금융위에 따르면 지난 9월30일부터 이달 3일까지 금융권 37개사에서 40건의 침해사고가 신고됐다. 유출된 정보는 약 47만3000건으로, 임직원 정보와 고객 성명·주민등록번호·계좌번호 등이 포함됐다. 계좌 비밀번호 등 부정결제 우려가 있는 정보 유출은 아직 확인되지 않았다.

일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 약 10억원의 자금이 탈취됐다는 신고도 접수됐다. 금융위는 고객자금을 통합 관리하는 계정 등에서 자금이 빠져나갔지만 개별 이용자의 자금손실은 아직 발생하지 않은 것으로 파악했다.

지난달 14일 전 금융권 체크리스트 점검을 마친 이후에도 중소 증권·보험사와 전자금융업자 등을 중심으로 사고 신고가 이어졌다. 당국은 해커들이 고객용 서비스뿐 아니라 직원관리·업무지원 등 상대적으로 보안관리가 취약한 주변부 시스템을 공격한 것으로 분석했다.

이에 따라 금융당국은 외부에서 접근할 수 있는 모든 시스템을 대상으로 전수점검에 나선다. 고객용 홈페이지는 물론 내부업무·제휴업무와 개발·시험·임시운영 시스템까지 점검 범위에 포함한다. 관리대장에 등록되지 않은 시스템도 찾아내 보안 취약점을 확인하도록 했다.

CEO와 보안담당 임원 등의 역할과 책임, 보고체계 등 경영진의 보안관리 체계도 점검한다. 외부 연결 시스템의 생성부터 운영·폐기까지 전 과정에서 의사결정과 관리·감독이 적절하게 이뤄졌는지도 살펴본다.

특히 금전피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 보완 전까지 해당 서비스를 중단하고 외부 접근을 차단해야 한다. 즉각적인 보완이 어려운 중요 서비스에 한해서만 별도 보호조치를 마련하고 CEO의 승인과 책임 아래 서비스를 재개할 수 있도록 했다. 이 경우 정보보호최고책임자(CISO)의 이사회 보고·승인 절차도 거쳐야 한다.

점검은 금융회사 자체 조사로 시작한다. 취약점이 없다고 판단한 경우에도 조사방법과 판단 근거를 상세히 기록해야 한다. 점검이 부실하거나 중대한 취약점이 확인되면 금융감독원과 금융보안원이 현장점검에 나선다.

관리대장에 등록된 시스템의 외부 접점은 이달 30일까지, 미등록 시스템과 내부통제체계는 12월31일까지 점검을 마칠 계획이다.

금융당국은 이번 점검에서 확인된 관리 부실에 대해서는 즉각적인 보완을 전제로 유연하게 처리하되, 이후 사고가 발생하면 기존 점검과 개선조치의 적정성까지 확인해 책임을 묻기로 했다. 점검 결과를 반영한 보안 내부통제 지침은 내년 1분기 마련한다.

정기적인 보안 취약점 분석·평가도 강화한다. 총자산 2조원 이상이면서 종업원 300명 이상인 대형 금융회사는 평가 횟수를 연 1회 이상에서 2회 이상으로 늘린다. 2028년부터는 중소형사를 포함한 전 금융권으로 확대한다.

전자금융거래와 직·간접적으로 관련된 모든 외부 연결 시스템을 의무 점검 대상에 포함하고, 긴급한 경우 금융당국이 수시점검을 요구할 수 있는 근거도 마련한다. 관련 전자금융감독규정 개정안은 이달 중 규정변경예고할 예정이다.

중대한 취약점을 장기간 방치한 금융회사에 시정명령을 내리고, 이를 이행하지 않으면 이행강제금을 부과하는 제도도 추진한다. 금융위는 관련 내용을 담은 전자금융거래법 개정안의 연내 국회 통과를 지원할 방침이다.

금융권 공동 보안관제체계도 개편한다. 개별 금융회사가 탐지한 해킹 수법과 공격자 정보 등을 전 금융권에 공유하는 체계를 구축해 12월 시범운영한 뒤 내년 1분기 전면 활용할 계획이다. 보안인력과 예산이 부족한 중소형사에는 인공지능(AI)을 활용해 취약점 탐지부터 개선방안까지 지원하는 '원스톱 AI 방어서비스'를 12월부터 순차 제공한다.

유출된 개인정보를 악용한 2차 금융범죄 대응도 강화한다. 금융보안원이 다크웹과 텔레그램 등에서 탈취정보 유통 여부를 상시 감시하고, 이달부터 금융권 공동 보이스피싱 정보공유·분석 플랫폼 'ASAP'를 통해 의심거래 위험도를 0~100점으로 산출하는 '피싱지수'를 시범 도입한다. 금융회사는 해당 지수와 자체 이상거래탐지 결과 등을 종합해 지급정지 여부를 판단한다.

보이스피싱 피해금 일부를 금융회사가 보상하도록 하는 무과실책임 법제화도 추진한다. 금융위는 통신사기피해환급법 개정안의 연내 통과를 지원하고, 보상 대상과 한도·면책범위 등을 구체화할 계획이다. 통신사의 책임을 강화하는 방안도 관계부처와 논의한다.

AI 기반 보안 역량을 높이기 위한 망분리 규제 완화도 추진한다. 금융위는 이달 전담반을 구성해 AI·보안 역량이 높은 금융회사를 대상으로 대체통제 요건과 망분리 규제의 단계적 전면 해제 방안을 논의하고 내년 1분기까지 구체적인 방안을 마련한다. 보안 목적의 AI 활용에 대한 망분리 예외도 상시화할 예정이다.

보안규율 적용 대상을 확대하는 '디지털금융 안전법'도 내년 1분기 법안 마련·발의를 목표로 추진한다. 가상자산사업자와 법인보험대리점(GA), 대부업 등에 현행 전자금융거래법 수준의 보안규율을 적용하고, 다수 금융회사와 연결된 클라우드·플랫폼 사업자에 대한 규율도 검토한다.

이 위원장은 "점검했다는 사실보다 중요한 것은 실제로 위험을 제거했느냐는 것"이라며 "중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 밝혔다.