금감원 “정보보안은 비용 아닌 생존”…CEO 책임 하 보안 강화 주문

금융감독원이 잇따른 대형 해킹 사고를 계기로 정보보안을 ‘비용이 아닌 생존을 위한 투자’로 규정하며 금융회사에 최고경영자(CEO) 책임 하의 보안 강화와 사전 예방적 대응을 주문했다.

금융정보보호협의회는 16일 서울 여의도 콘래드 서울 호텔에서 제23차 정기총회를 열었다. 이날 총회에는 이세훈 금감원 수석부원장, 박상원 금융보안원장, 금융회사 정보보호최고책임자(CISO) 등 약 210명이 참석했다.

금융정보보호협의회는 금융보안 관련 정보 공유와 협력, 정책 건의, 금융소비자 정보보호 인식 제고를 위해 2002년 설립된 금융보안 자율 협의체다. 현재 은행·증권·보험·카드·전자금융업자 등 124개 금융회사가 회원사로 참여하고 있다.

이날 총회에서는 이 수석부원장의 개회사와 박 원장의 환영사에 이어 고려대 이상근 교수 등의 특별강연이 진행됐다. 금융보안 업무를 성실히 수행한 금융회사 유공직원 12명에게는 금융감독원장상 3명, 금융정보보호협의회 위원장상 4명, 금융보안원장상 5명이 각각 수여됐다.

이 수석부원장은 개회사에서 “최근 금융뿐 아니라 통신·유통 등 다양한 산업 분야에서 대형 해킹 사고가 잇따르며 IT 정보보안에 대한 국민적 불안이 커지고 있다”며 “지능화·대형화되는 사이버 위협에 대응하기 위해 감독당국과 금융회사 모두 기존 대응 방식에 문제가 없는지 점검하고 사고 예방에 각별히 힘써야 한다”고 강조했다.

이 수석부원장은 정보보안을 CEO 책임 아래 최우선 경영과제로 추진할 것을 주문했다. 그는 “금융회사의 보안 수준은 금융소비자 신뢰와 직결되는 만큼 정보보안은 비용이 아니라 생존을 위한 투자”라며 “외형 성장에 걸맞은 보안 역량을 갖춰야 한다”고 했다. 아울러 CISO가 IT·보안 리스크를 진단하고 조직의 보안 문화를 주도하는 핵심 리더 역할을 수행해야 한다고 강조했다. 금융감독원은 CISO의 역할과 책임에 상응하는 권한과 위상을 확보할 수 있도록 제도적 지원을 추진할 방침이다.

상시적이고 체계적인 정보보안 관리 체계 구축도 강조했다. 이 수석부원장은 제로트러스트 원칙에 따라 정보자산을 철저히 점검하고 취약점 발견 시 신속히 대응할 것을 당부했다. 보안 업데이트, 데이터 백업, 퇴직자 계정 삭제 등 일상적인 보안 활동도 소홀히 해서는 안 된다고 밝혔다. 금융감독원은 금융회사 보안 취약점 관리에 대한 분석·평가와 감시를 강화해 사전 예방 중심의 감독체계로 전환할 계획이다.

또 정보보안 사고 발생 시 신속한 서비스 복구가 가능하도록 현장 맞춤형 비상 대응 계획을 마련하고, 주기적인 훈련을 통해 업무 지속성 확보 여부를 점검할 것을 주문했다. 사고 발생 즉시 금융당국과 정보를 공유하고 이용자 보호 대책을 철저히 마련해야 한다고도 강조했다. 보안 소홀로 금융소비자 피해가 발생할 경우에는 엄정한 검사와 제재를 통해 금융사 책임성을 강화하겠다는 방침이다.

박 원장은 “인공지능(AI), 블록체인 등 신기술 확산으로 새로운 보안 위험이 계속 나타날 것”이라며 “금융보안원은 금융정보보호협의회 회원사와의 협력을 강화해 공동 대응 역량을 높이겠다”고 말했다.