이찬진 금융감독원장이 3일 해킹 사고가 발생한 대형 금융회사에 대해 최고경영자(CEO)를 비롯한 경영진의 책임을 엄중히 묻겠다고 말했다. 보안 부실로 사고가 발생한 금융사에는 매출액의 최대 3%를 과징금으로 부과하는 방안도 신속히 추진하겠다고 밝혔다.
이 원장은 이날 임원회의에서 최근 금융권 해킹 사고에 대한 업권별 대응 현황을 점검하고 이 같은 내용을 담은 정보기술(IT) 보안 강화 방안을 논의했다.
이 원장은 “전 금융권이 자체 긴급 체크리스트 점검을 하고 외부 접근을 원칙적으로 차단하도록 했지만, 금융권 이행이 충분하지 못하다”며 “CEO를 비롯한 경영진과 이사회가 IT 안전성을 핵심 생존 전략으로 인식하고 내년도 보안 예산과 인력 확충에 앞장서야 한다”고 주문했다.
금감원은 우선 해킹 사고가 발생한 금융회사에 대한 검사에서 경영진의 책임을 집중적으로 들여다볼 방침이다. 특히 종합금융투자사업자와 보험사 등 대형 금융사에 대해서는 앞서 은행권에 적용하기로 한 검사·제재 방침을 동일하게 적용한다. 기본적인 보안 통제를 제대로 이행하지 않거나 형식적인 자체 점검에 그쳐 사고가 발생한 경우 CEO 등 경영진의 역할과 책임을 따져 엄중히 조치하겠다는 것이다.
징벌적 과징금 도입에도 속도를 낸다. 금감원은 기본적인 보안 통제 부실이나 취약점 방치로 해킹 사고가 발생한 금융회사에 매출액의 3%까지 과징금을 부과할 수 있도록 지난해 11월 발의된 전자금융거래법 개정안의 신속한 국회 통과를 추진하기로 했다. 법 개정 이전에도 해킹 사고 발생 여부 등에 따라 금융사의 감독분담금을 차등 부과하는 방안 등을 검토할 계획이다.
금융권 전체를 대상으로 한 보안 점검도 강화한다. 금감원은 보험대리점(GA)과 대부업체, 가상자산사업자, 온라인투자연계금융업자 등 전자금융거래법 미적용 회사를 포함한 전 금융권의 외부접점을 전수점검하도록 했다. 특히 고객이나 금융사 재산을 취급하는 시스템과 연결돼 금전적 피해로 이어질 수 있는 외부접점은 우선적으로 점검하고, 취약점이 해소되기 전까지 외부 접근을 원칙적으로 차단하도록 했다.
금감원은 IT 전문인력을 총동원해 금융회사들의 점검 이행 여부를 사후 확인할 예정이다. 형식적인 점검에 그친 사실이 확인되면 엄중 조치한다는 방침이다. 이와 함께 보안전담조직을 신설하고 IT 전문인력을 확충해 감독·검사 역량도 강화하기로 했다.