-금융당국, 금융회사 IT 보안강화 종합대책 마련
[뉴스핌=문형민 기자] 금융회사에 중대한 전산사고가 발생하면 경영진 등이 책임을 지도록 규정이 명확해지고, 제재도 강화된다. CEO는 연간 IT 보안계획을 직접 승인해야하고, 정보보호최고책임자(CISO)를 의무적으로 지정해야한다.
금융당국이 현대캐피탈, 농협 등에서 잇따라 전산사고가 발생하자 '금융회사 IT 보안강화 종합대책'을 마련해 23일 발표했다.
우선 IT 보안에 대한 CEO 등의 저조한 관심이 보안사고 발생의 원인으로 작용한다며 CEO의 역할과 책임을 부여했다. CEO가 연간 IT 보안계획을 직접 승인하고, 이행여부를 확인하고, 임원성과평가와도 연계하도록 유도하기로 했다.
아울러 보안사고 발생시 경영진 등에 대한 제재도 강화된다. 현행 전자금융거래법에 법령 위반시 시정명령, 임직원 문책, 임원해임 또는 직무정지 요구 등이 가능하지만 감독자 감경조항 등에 따라 경미하게 조치해왔다. 이에 위반행위자, 감독자(경영진 등), 금융회사 등 대상별 제재기준을 별도로 마련해 엄중 제재한다는 방침이다. 특히 공익침해의 정도가 중대할 경우 해당 금융회사의 업무정지 등이 가능하도록 법적 근거를 신설할 계획이다.
정보보호최고책임자(CISO) 지정을 의무화하고, CISO의 업무범위 및 자격요건 등을 전자금융거래법령에 명시할 계획이다. 또 금융회사와 금융당국간 협력체계 강화를 위해 'CISO 협의회' 운영을 추진한다.
IT 보안인력비율 및 IT 예산비율을 일정수준 이상 유지토록 의무화된다. 금감원이 IT 보안예산 비율을 5% 이상 유지토록 권고하고 있으나 준수의무가 없어 제대로 지켜지지 않았다. 이에 이 비율을 감독규정으로 명시하겠다는 것. 구체적인 비율 수준은 총자산규모, 직원수, 전자금융거래규모, 고객수, 국제기준 등을 감안해 결정될 예정이다.
해킹 등 사고발생시 해커 등 침해자 처벌 근거도 신설되고, 금융회사 종사자의 감독당국에 대한 사고보고 범위, 절차 등도 명확하게 규정된다. 또 해킹 사고시에도 금융회사 등이 손해배상 책임을 질 수 있도록 전자금융거래법 개정을 추진하고, 필요시 보상한도 상향 조정도 검토된다.
또 해킹 피해 최소화를 위한 시스템 개선도 추진된다. 안전한 내부망 구간에만 DB를 설치 운영토록하고, 고객비밀번호 암호화 등 고객정보 관리가 강화된다. 인터넷망과 업무망의 분리를 단계적으로 유도하고, 무선망 사용에 대한 보안조치도 강화된다.
외주업체 및 외주인력 관리도 강화된다. IT 보안전담조직에서 아웃소싱업체 보안관리를 철저히 수행토록하고, 아웃소싱업자를 전자금융보조업자에 포함시켜 금융회사의 책임을 강화한다. 외주계약에 관한 표준계약사 마련 등으로 보안사고 발생시 책임관계도 명확히 할 예정이다.
금융위는 전산사고 예방에 필요한 IT보안업무 처리절차는 '금융회사 IT보안업무 모범규준'을 마련 8월중 시행하고, 전자금융감독규정 및 시행세칙을 조속히 개정해 시행한다는 계획이다. 또한 전자금융거래법령 개정도 최대한 신속하게 추진할 예정이다.
▶글로벌 투자시대의 프리미엄 마켓정보 “뉴스핌 골드 클럽”
[뉴스핌 Newspim] 문형민 기자 (hyung13@newspim.com)
