기본통제 부실땐 매출 3% 과징금 추진
|
이찬진 금융감독원장은 3일 오전 임원회의에서 "전 금융권이 자체 긴급 체크리스트 점검을 하고 외부 접근을 원칙적으로 차단하도록 했지만 금융권 이행이 충분하지 못하다"며 "AI를 악용한 사이버공격이 전방위적·동시다발적·상시적으로 발생하는 만큼 금융회사 스스로 위협과 취약점을 식별하고 대응하는 전사적 자율보안체계를 조속히 확립해야 한다"고 지적했다.
금감원은 최근 해킹사고가 은행·증권·보험 등 전통 금융회사뿐 아니라 전자금융거래법을 적용받지 않는 보안 취약 업권으로까지 확산하고 있다고 진단했다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 금전 피해까지 발생해 대비 태세를 한층 강화할 필요가 있다고 봤다. 지난달 8일까지 전 금융권이 자체 체크리스트 점검한 결과 16개사에서 개인정보 약 10만건이 유출된 것으로 확인됐다. 그 이후로도 보험사와 증권사 등에서 침해 신고가 이어지고 가상자산업, 온투업에서는 금전 피해도 발생했다.
금감원은 사고 발생 회사에 대해 유의사항을 준수하고 자체점검을 적정하게 수행했는지 면밀히 살필 예정이다. 또한 종합금융투자사업자와 보험사 등 대형 금융회사에도 은행권과 마찬가지로 엄중하게 CEO 등 경영진 책임을 물을 방침이다. 지속적인 지도에도 기본통제 미흡이나 형식적 점검으로 사고가 발생했다면 경영진이 역할을 적절히 수행했는지 확인하겠다는 취지다. 이 원장은 " CEO를 비롯한 경영진과 이사회가 IT 안전성을 고객 신뢰의 근간이자 핵심 생존전략으로 인식하고 내년도 보안 예산과 인력 확충에 앞장서야 한다"고 당부했다.
보안 강화를 위해 과징금 부담도 추진한다. 기본통제 부실이나 보안취약점 방치 등으로 해킹사고가 발생한 경우 매출액의 3%에 해당하는 징벌적 과징금을 예외 없이 부과할 수 있도록, 지난해 11월 발의된 전자금융거래법 개정안의 신속한 통과에 적극 협조하겠다고 말했다. 법 개정 전이라도 수익자 부담 원칙에 근거해 사고 발생 등에 따라 감독분담금을 차등 부과하는 등 금융회사의 보안 강화를 촉진할 방안을 다각적으로 모색하도록 했다.
점검 범위도 넓힌다. 법인보험대리점(GA)·대부업·가상자산업·온투업 등 전자금융거래법 미적용사를 포함한 전 금융권의 외부접점을 전수점검하고, 금감원 IT 전문인력을 총동원해 이행 여부를 사후 확인한다. 특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 공격 시 금전 피해가 발생할 가능성이 있는 외부접점을 우선 점검할 계획이다.
