정보유출 47만건 넘어···금융회사 580여개사 대상 보안 점검해킹사고 속출에 'CEO 책임론···관리 부실 시 경영진 책임 추궁
);)
최근 금융권에서 해킹과 개인정보 유출 사고가 잇따르자 금융당국이 은행과 보험, 증권은 물론 가상자산사업자까지 포함한 금융회사 580여개사를 대상으로 대대적인 보안 점검에 나선다.
금융위원회는 5일 서울 여의도 금융보안원에서 이억원 금융위원장 주재로 금융감독원·금융보안원과 전 금융권 협회장들과 함께 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 개최했다.
지난 9월 30일부터 이달 3일까지 금융권 37개사에서 총 40건의 침해사고가 신고됐다. 이 과정에서 약 47만3000건의 정보가 유출된 것으로 파악됐다. 다만 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다.
업권별로는 전자금융업체가 10개사로 가장 많았고, 증권사와 저축은행이 각각 5개사, 은행과 온라인투자연계금융업체가 각각 4개사였다. 보험사와 가상자산사업자에서도 각각 3개사가 침해사고를 신고했다.
일부 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서는 실제 자금 탈취 사고도 발생했다. 현재까지 신고된 피해 규모는 약 10억원으로, 개별 이용자의 직접적인 자금손실은 발생하지 않은 것으로 파악됐다.
특히 지난달 전 금융권 보안 체크리스트 점검이 완료된 이후에도 중소규모 금융회사를 중심으로 침해사고가 이어지고 있다는 점이 눈에 띈다. 대형 금융회사에 비해 보안 인력과 투자 여력이 부족한 중소형 금융회사의 대응 역량을 끌어올리는 것도 과제로 떠올랐다.
이날 회의에서는 금융권의 ▲보안관리상 허술한 점을 꼼꼼히 바로잡고 ▲소비자 2차 피해가 없도록 방비를 든든히 하며 ▲나아가 AI시대에 걸맞는 "新 보안체계"를 구축하는 등 대응방안이 심도 있게 논의됐다.
우선 금융당국은 올해 연말까지 금융권 약 580개사를 대상으로 전체 IT 자산의 외부접점과 내부통제 운영실태를 전수점검한다. 점검 대상은 은행·보험·증권 등 기존 금융회사뿐 아니라 전자금융업체와 가상자산사업자 등 금융업권 전반이다.
금융회사가 우선적으로 자체점검을 실시하되, 점검 내용이 부실하거나 중대한 취약점이 발견될 경우 금감원과 금융보안원이 직접 현장점검에 나선다.
홈페이지와 모바일 애플리케이션 등 고객 대상 서비스뿐 아니라 직원관리와 내부업무, 제휴업무 등 외부에서 접근할 수 있는 모든 시스템을 점검한다. 최근 해킹사고가 주로 발생한 응용프로그램 인터페이스(API)와 인증·접근통제 시스템, 개발·테스트용 시스템 등도 포함된다.
특히 최근 금융권 침해사고가 핵심 전산망보다 상대적으로 관리가 소홀했던 주변부 시스템을 중심으로 발생했다는 점에서 금융회사의 보안관리 실태 전반을 재점검해야 한다는 문제의식이 반영된 결과로 풀이된다. 단순히 보안장비를 늘리는 것을 넘어 평소 취약점을 얼마나 체계적으로 관리하고 있었는지가 핵심 점검 대상이 될 전망이다.
만약 고객의 금전적 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스를 즉시 중단하고 외부접근을 차단해야 한다. 서비스 중단이 어려운 경우에도 CEO의 승인 아래 대체 보안조치를 마련해야만 서비스를 재개할 수 있다.
금융회사의 내부통제 체계도 점검 대상이다. CEO와 정보보호최고책임자(CISO), 정보기술최고책임자(CIO)의 역할과 책임을 비롯해 보안 관련 의사결정 절차, IT 자산 관리대장 운영 여부 등을 살펴볼 계획이다.
이번 점검 과정에서 발견된 관리 부실은 즉각적인 보완을 전제로 최대한 유연하게 처리하지만, 점검 이후 사고가 발생하면 기존 점검의 적정성까지 따져 책임을 묻기로 했다. 특히 보안 취약점을 방치해 사고가 발생할 경우 최고경영자(CEO)를 포함한 경영진에게 책임을 묻는 등 금융회사의 보안관리 책임도 한층 강화한다.
이번 전수점검은 단순한 취약점 확인을 넘어 실제 개선 여부와 경영진의 관리 책임까지 들여다본다는 점에서 이전보다 강도 높은 조치로 평가된다.
이번에 추진하는 전수점검 결과를 바탕으로 전금융권이 효과적인 보안 내부통제 시스템을 갖출 수 있도록 '보안 내부통제 가이드라인'을 2027년 1분기 중 마련·시행할 계획이다.
이억원 금융위원장은 "금융의 생명은 신뢰이며, 보안은 그 신뢰를 떠받치는 가장 기본적인 토대"라며 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라고 강조했다.
이어 "중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 덧붙였다.
이에 따라 금융회사 경영진의 보안관리 부담도 한층 커질 전망이다. 그동안 IT·보안부서의 실무 영역으로 여겨졌던 보안 문제가 경영진의 투자 판단과 내부통제 책임을 평가하는 핵심 요소로 자리 잡을 가능성이 커졌다.
금융회사의 정기 보안점검 의무도 강화된다. 현재 연 1회 이상 실시하는 취약점 분석·평가를 대형 금융회사부터 연 2회로 확대하고, 2028년부터는 중소형 금융회사까지 적용 범위를 넓힐 계획이다.
이와 함께 개별 금융회사가 탐지한 해킹 공격 정보와 악성코드, 취약점 등을 금융권 전체에 신속하게 공유하는 공동 관제체계를 구축한다. 오는 12월 시범운영을 거쳐 내년 1분기 중 전 금융권으로 확대할 계획이다.
상대적으로 보안 인력과 예산이 부족한 중소형 금융회사에는 금융보안원이 AI를 활용해 취약점을 상시 탐색하고 개선방안을 제공하는 '원스톱 AI 방어서비스'도 지원한다.
개인정보 유출에 따른 보이스피싱 등 2차 피해를 차단하기 위해 AI를 활용한 탐지체계도 고도화한다. 당장 이달부터 지난해 10월 출범한 금융권 공동 보이스피싱 정보공유·분석 플랫폼 'ASAP'에 AI 기반 '의심거래 판단지수(피싱지수)'를 시범 도입한다.
금융회사가 범죄 의심거래를 조회하면 AI가 해당 거래의 보이스피싱 연루 가능성을 분석해 0~100점으로 제시하는 방식이다. 금융회사는 이를 활용해 의심거래의 위험도를 판단하고 계좌 지급정지 등 필요한 조치를 신속하게 취할 수 있다.
보이스피싱 피해에 대한 금융회사의 무과실 배상책임 도입도 추진한다. 다만 금융회사의 부담이 지나치게 커지지 않도록 보상 대상과 한도, 면책 범위 등 구체적인 적용 기준을 마련하기로 했다.
금융당국은 기존 망분리 중심의 보안체계를 AI 기반의 선제적 대응체계로 전환하는 방안도 추진한다. 이를 위해 '망분리 규제 전면해제 태스크포스(TF)'를 본격 가동한다.
TF에서는 데이터 중요도에 따른 관리체계와 모든 접근을 지속적으로 검증하는 '제로트러스트' 보안 원칙, CEO·이사회·CISO의 책임, 침해사고 발생 시 핵심 금융서비스를 유지하기 위한 대응체계 등을 논의한다.
가상자산사업자와 보험대리점(GA) 등 기존 전자금융거래법의 보안규율이 충분히 적용되지 않는 업권까지 관리 범위를 확대하는 방안도 마련한다. 이를 위해 금융당국은 내년 1분기 중 '디지털금융 안전법' 법안 마련을 추진한다.
이 위원장은 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "금융권 CEO들은 절체절명의 위기상황임을 인식하고 전사적인 비상대응반을 즉시 구성해 보안체계 마련에 총력을 다해달라"고 당부했다.
이어 "이제는 말이 아니라 행동으로 보여줘야 한다"며 "보안과 소비자 보호를 최우선 경영과제로 삼아 철저한 점검과 실질적인 개선조치에 적극 나서야 한다"고 재차 강조했다.
이찬진 "금융권 해킹 사고, CEO 책임까지 묻겠다"···징벌적 과징금 도입 속도
뉴스웨이 김다정 기자
ddang@newsway.co.kr
저작권자 © 온라인 경제미디어 뉴스웨이 · 무단 전재 및 재배포 금지
);){kind=link}
댓글