금융전산 보안 컨트롤타워 생긴다…‘금융전산 보안 협의회’ 설치

망분리 의무화 및 CISO 겸직 전면 금지

금융 전산사고에 체계적으로 대응하기 위한 금융전산 보안 컨트롤타워가 설치된다. 또 대형 금융회사들은 내부 업무망과 외부 인터넷망을 의무적으로 분리해야 하며 CIO(최고정보책임자)와 CISO(최고정보보호책임자)의 겸직이 전면 금지된다.

금융위원회는 이 같은 내용을 중심으로 한 ‘금융전산 보안강화 종합대책’을 11일 발표했다. 그 동안 금융회사 해킹이 동시다발적·반복적으로 발생하면서 고객정보 유출 등의 피해가 지속됐다. 이에 금융위는 제도적·기술적으로 보안관리 체계를 강화키로 했다.

금융전산 보안 강화 대책은 △금융전산 위기대응 체계 강화 △금융회사 전자금융 기반시설 보안 강화 △금융회사 보안조직·인력 역량 강화 △금융 이용자 보호 및 감독 강화 △금융회사 자율적 보안노력 지원 등 5가지로 나뉜다. 당초 검토됐던 금융회사 CEO 징계 방안은 제외됐다.

우선 흩어져 있던 금융전산 보안 관리체계를 하나로 통합하는 금융전산 보안 컨트롤타워를 설립한다. 금융위는 ‘금융전산 보안 협의회’에서 각 기관의 역할을 조정·정립해 중복을 최소화하는 한편 금융 정보공유분석센터(ISAC) 모니터링 대상기관 확대, 기능 효율화 등을 이룬다는 방침이다.

지금까지 금융결제원·코스콤·금융보안연구원 등 각각의 금융보안 관련 기관이 사이버 위협에 산발적으로 대응함에 따라 비효율성이 컸다.

이와 함께 금융권 공동의 백업전용센터를 구축해 전산사고에 따른 금융정보 영구 손실을 차단한다. 일단 은행권에 지하 벙커 형태의 공동 백업전용센터를 구축한 뒤 타 업권으로 확대할 계획이다.

의무적 망분리도 추진된다. 외부 침입을 원천 차단하기 위해서다. 금융회사 전산센터는 오는 2014년 말까지 내부 업무용과 인터넷용 등 2대의 PC를 사용하는 망분리를 완료해야 하며 본점이나 영업점은 2014년 이후 총자산, 임직원 수 등 규모별로 단계적 망분리를 추진해야 한다.

또 CISO의 독립성을 강화해 효과적인 보안업무가 이뤄지도록 한다. 금융회사 CISO는 사고 발생 시 책임은 큰 반면 업무수행 권한은 상대적으로 약해 효과적인 업무수행에 어려움이 많았다.

이에 금융위는 CIO와 CISO의 겸직을 전면 금지하고 최대 3년까지 임기를 보장키로 했다. 앞으로 자산 10조원 이상이면서 임직원 1500명 이상 등 일정 규모 이상의 금융기관(36곳)은 CIO와 CISO를 따로 둬야 한다.

아울러 정보보안 규정 위반 시 제재 근거를 금융회사 내규에 마련·시행토록 하는 등 금융전산시설 내부통제도 한층 강화한다.