이찬진 금감원장 “해킹 사고 금융사 CEO까지 책임 물을 것⋯징벌적 과징금도 추진”

은행 이어 증권·보험사 경영진도 검사·제재 대상
‘매출액 3%’ 징벌적 과징금 부과 국회 통과 지원
금융권 외부 접점 전수점검⋯대응 태세 강화 강조

▲이찬진 금융감독원장이 19일 서울 여의도 국회에서 열린 정무위원회의 금감원 등에 대한 국정감사에서 의원 질의에 답하고 있다. 신태현 기자 holjjak@ (이투데이DB)

이찬진 금융감독원장이 금융권 전반으로 확산하는 해킹 사고와 관련해 최고경영자(CEO)를 비롯한 경영진의 책임을 엄중히 묻겠다고 3일 밝혔다. 보안 관리가 부실한 금융회사에 대한 제재를 강화하고 금융권의 외부 접점을 전수점검하는 등 감독 강도를 높일 방침이다.

금융감독원에 따르면 이 원장은 이날 임원회의를 열고 최근 금융권 해킹 사고에 대한 업권별 대응 현황을 점검하고 보안 강화 방안을 논의했다.

이 원장은 최근 사이버 공격이 은행뿐 아니라 증권·보험사 등 전통 금융회사와 IT 보안이 취약한 전자금융거래법 미적용 업체까지 확산하고 있다고 진단했다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해까지 발생해 대응 태세를 강화해야 한다고 강조했다.

금감원은 사고 발생 전부터 통합관제시스템(FIRST)을 통해 기본 보안 통제의 미흡한 부분을 보완하고 외부 접점 악용과 AI 에이전트 기반 사이버 공격에 대비하도록 안내해 왔다.

침해 사고가 본격화된 이후에는 금융권 전체에 긴급 자체점검을 실시하도록 하고 필수적인 경우를 제외한 외부 접근을 원칙적으로 차단하도록 했다. 그러나 금융회사들의 이행이 충분하지 않아 가시적인 개선이 나타나지 않고 있다는 게 금감원의 판단이다.

이에 이 원장은 금융회사가 보안 위협과 취약점을 선제적으로 파악하고 대응하는 전사적 자율보안 체계를 조속히 마련해야 한다고 주문했다. 특히 CEO와 이사회가 IT 보안을 핵심 생존 전략으로 인식하고 내년도 보안 예산과 전문 인력 확충에 적극 나설 것을 강조했다.

사고 발생 금융회사에 대해서는 기존 보안 유의사항과 자체점검 지시를 제대로 이행했는지 면밀히 살펴볼 방침이다. 종합금융투자사업자와 보험사 등 대형 금융회사도 은행권과 동일한 기준을 적용해 경영진의 책임까지 엄중히 물을 계획이다. 기본적인 보안 통제가 미흡하거나 형식적인 점검으로 사고가 발생했다면 경영진의 역할과 관리 책임을 따져 제재할 예정이다.

제재의 실효성을 높이기 위한 제도 개선도 추진한다. 금감원은 기본 통제 부실이나 보안 취약점 방치로 해킹 사고가 발생한 금융회사에 매출액의 3%에 해당하는 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정안의 신속한 국회 통과를 지원하기로 했다.

법 개정 이전에도 사고 발생 여부 등에 따라 감독분담금을 차등 부과하는 방안을 검토한다. 수익자 부담 원칙을 바탕으로 금융회사의 보안 투자와 내부통제 강화를 유도하겠다는 취지다.

추가 사고를 막기 위해 금융권의 외부 접점도 전수점검한다. 점검 대상에는 대부업과 가상자산업, 온라인투자연계금융업 등 전자금융거래법 미적용 업체도 포함된다.

특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 공격 시 금전 피해가 발생할 우려가 있는 외부 접점을 우선 점검한다. 보안 취약점이 해소되기 전까지는 원칙적으로 외부 접근을 차단하도록 할 계획이다.

금감원은 IT 전문 인력을 동원해 금융회사들의 점검 이행 여부를 사후 확인하고 형식적인 점검에 그친 경우 엄중 조치할 방침이다. 아울러 금융권 보안 감독·검사의 전문성을 높이기 위해 IT 보안 전담 조직 신설과 전문 인력 확충도 추진한다.