금융권 해킹 사고에 금감원 칼 빼들었다…CEO 책임 묻고 매출 3% 과징금 추진

[더파워 이경호 기자] 금융권에서 해킹 사고가 잇따르자 금융감독원이 최고경영자(CEO)를 포함한 경영진 책임을 엄중히 묻겠다는 방침을 밝혔다. 기본적인 보안 통제 미흡이나 형식적인 점검으로 사고가 발생한 대형 금융회사에 대해서는 경영진의 책임까지 조사하고, 매출액의 3%를 징벌적 과징금으로 부과하는 법 개정도 추진한다.

금융감독원은 이찬진 원장이 3일 임원회의에서 최근 금융권 해킹 사고와 관련한 업권별 대응 현황을 점검하고 보안 강화 방안을 논의했다고 밝혔다. 이 원장은 금융회사의 보안 조치 이행이 충분하지 않다고 지적하며 감독·검사 강화와 외부 접점 전수점검 등을 지시했다.

최근 해킹 사고는 은행뿐 아니라 증권·보험 등 전통적인 금융회사와 전자금융거래법 적용 대상이 아닌 일부 업체로까지 확대되고 있다. 특히 가상자산사업자와 온라인투자연계금융업자 등에서는 실제 금전 피해도 발생한 것으로 금감원은 파악했다.

금감원은 그동안 통합관제시스템(FIRST) 등을 통해 기본 보안 통제의 미흡한 부분을 보완하고 외부 접점 악용 및 AI 에이전트 기반 사이버 공격에 대비하도록 금융권에 안내해 왔다. 해킹 사고가 본격화된 이후에는 금융권 전체에 긴급 자체점검을 실시하고 필수적인 경우를 제외한 외부 접근을 원칙적으로 차단하도록 했다.

그러나 금감원은 이러한 조치에도 금융권의 보안 강화 이행이 충분하지 않다고 판단했다. 이 원장은 AI를 악용한 사이버 공격이 동시다발적으로 발생하는 상황에서 금융회사 스스로 보안 위협과 취약점을 찾아 대응하는 전사적 자율보안 체계를 조속히 구축해야 한다고 강조했다.

특히 금융회사 CEO와 이사회가 정보기술(IT) 안전성 확보를 경영의 핵심 과제로 인식해야 한다고 주문했다. 내년도 보안 예산과 전문 인력 확충에도 경영진이 직접 나서야 한다는 것이다.

해킹 사고가 발생한 금융회사에 대한 검사와 제재도 강화한다. 금감원은 사고 발생 전 전달한 보안 유의사항과 자체점검이 적절하게 이행됐는지 조사할 계획이다. 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서는 앞서 밝힌 은행권 검사·제재 방침과 마찬가지로 CEO 등 경영진의 책임까지 엄중하게 묻기로 했다.

징벌적 과징금 도입을 위한 법 개정에도 속도를 낸다. 금감원은 기본적인 보안 통제가 부실하거나 취약점을 방치해 해킹 사고가 발생한 경우 매출액의 3%를 과징금으로 부과할 수 있도록 하는 전자금융거래법 개정안의 신속한 국회 통과를 지원할 방침이다. 해당 개정안은 지난해 11월 발의된 상태로, 현행 제도가 아닌 입법 추진 사항이다.

법 개정 이전에 활용할 수 있는 제재·관리 방안도 검토한다. 금감원은 수익자 부담 원칙에 따라 해킹 사고 발생 여부 등을 고려해 감독분담금을 차등 부과하는 방안을 모색하기로 했다.

추가 사고를 막기 위한 외부 접점 점검도 전 금융권으로 확대한다. 대부업과 가상자산업, 온라인투자연계금융업 등 전자금융거래법 미적용 업체를 포함해 외부 시스템과 연결되는 접점을 전수점검하도록 할 방침이다.

특히 고객이나 금융회사의 재산을 취급하는 시스템과 연결돼 금전 피해로 이어질 가능성이 있는 외부 접점을 우선 점검한다. 보안 취약점이 해소되기 전까지는 원칙적으로 외부 접근을 차단하도록 하고, 금감원 IT 전문 인력을 투입해 점검 이행 여부를 사후 확인할 계획이다.

금감원은 금융회사가 형식적인 자체점검에 그친 경우에도 엄중 조치하겠다는 방침이다. 아울러 금융권 IT 보안에 대한 감독과 검사의 실효성을 높이기 위해 보안 전담 조직 신설과 전문 인력 확충도 추진하기로 했다.

이경호 더파워 기자 lkh@thepowernews.co.kr