580개 금융사 보안 ‘전수 점검’…가상자산업권도 포함

금융당국이 금융회사와 전자금융업체, 가상자산사업자 등 580여 곳을 대상으로 모든 전산자산의 외부 접속 경로와 보안 내부통제 체계를 전수 점검합니다.

자체 점검에서 ‘적정’으로 판단한 경우에도 점검 방식과 판단 근거를 상세히 적도록 하고, 점검이 부실하거나 중대한 취약점이 발견되면 당국이 직접 현장점검에 나섭니다.

금융위원회는 오늘(5일) 이억원 위원장 주재로 금융감독원과 금융보안원, 금융권 협회 등이 참석하는 간담회를 열고 이 같은 내용의 보안체계 개선 방안을 발표했습니다.

기존 긴급 점검은 금융회사가 당국의 점검표(체크리스트)에 따라 스스로 적정 여부를 판단해 회신하는 방식이었습니다. 금융 당국은 이를 개선해 우선 회사별로 자체 점검을 실시하되, 점검 대상과 판단 근거를 더 구체적으로 확인하기로 했습니다.

점검 대상에는 홈페이지 등 고객용 서비스뿐 아니라 외부에서 접근할 수 있는 직원 관리와 내부 업무, 제휴 업무, 개발·시험용 시스템 등도 포함됩니다.

관리대장에 등록되지 않은 시스템과 경영진의 보안 관련 역할·책임도 들여다봅니다.

관리대장에 등록된 시스템의 외부 접속 경로 점검은 11월 30일까지, 미등록 시스템과 최고경영자·정보보호최고책임자 등의 역할을 포함한 내부통제 체계 점검은 12월 31일까지 마칠 계획입니다.

외부 기관을 통한 정기 보안 점검도 대형 금융회사부터 연 1회 이상에서 2회 이상으로 늘리는 방안을 추진합니다.

전자금융거래와 직·간접적으로 관련된 모든 외부 접속 지점을 점검 대상에 포함하고, 긴급할 때는 당국이 수시 점검을 요구할 수 있도록 이달 중 감독규정 개정안을 예고합니다.

중요한 보안 취약점을 장기간 방치한 금융회사에 시정명령을 내리고, 이를 따르지 않으면 이행강제금을 부과하는 방안도 법 개정을 통해 추진합니다.

해킹 위협 정보를 공유하는 방식도 바꿉니다.

현재 금감원과 금융보안원의 관제시스템은 두 기관이 파악한 위협 정보만 공유하고 있습니다.

앞으로는 대형 금융회사가 자체적으로 탐지한 공격 방식과 공격자 인터넷주소, 악용된 취약점, 악성코드 정보도 금감원의 통합관제시스템인 ‘FIRST’를 통해 전 금융권에 신속히 전파하도록 합니다.

개선된 시스템은 12월 시범운영을 거쳐 내년 1분기 전 금융권이 활용할 수 있도록 추진합니다.

가상자산거래소 등 전자금융거래법이 적용되지 않는 업권의 사고 신고체계도 정비합니다.

현재는 정보통신망법에 따라 한국인터넷진흥원, KISA에 신고하고 있지만, 금감원과 금융보안원에도 즉시 신고하도록 이달 중 가이드라인을 마련할 계획입니다.

금융위는 내부 업무망과 외부 인터넷망을 분리하는 기존 방식에서 나아가 AI로 공격을 탐지하고 차단하는 보안체계를 마련하기 위해 ‘망분리 규제 전면해제 TF’를 가동합니다.

가상자산사업자와 보험대리점 등에도 전자금융거래법 수준의 보안 규제를 적용하기 위한 ‘디지털금융 안전법’은 내년 1분기 법안 마련을 목표로 추진합니다.

한편 금융위에 따르면 지난 9월 30일부터 이달 3일까지 금융권 37개사에서 모두 40건의 침해사고가 신고됐습니다. 정보 유출 규모는 약 47만 3천 건입니다.

일부 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서는 회사가 관리하는 자금 약 10억 원이 탈취된 것으로 신고됐습니다.

다만 당국은 개별 이용자의 자금 손실은 아직 현실화하지 않은 것으로 파악하고 있다고 설명했습니다.

[사진 출처 : 연합뉴스 / 금융위원회 제공]

■ 제보하기
▷ 전화 : 02-781-1234, 4444
▷ 이메일 : kbs1234@kbs.co.kr
▷ 카카오톡 : 'KBS제보' 검색, 채널 추가
▷ 유튜브, 네이버에서도 KBS뉴스를 구독해주세요!

송수진 기자 (reportersong@gmail.com)