금융당국이 지난 7월 중순 SGI서울보증 전산시스템이 랜섬웨어 공격으로 마비된 사건을 계기로 전 금융권에 대해 침해사고 재발 방지를 위한 전방위 점검과 함께 강력한 제도 개선에 나선다. 중대한 보안사고가 발생할 경우 징벌적 과징금을 부과하는 방안도 추진하는 등 엄정한 조치가 병행된다.
금융위원회는 30일 정부서울청사에서 SGI서울보증을 포함한 금융 공공기관, 금융협회, 감독기관 등이 참석한 가운데 ‘금융권·금융 공공기관 침해사고 대비태세 점검회의’를 열고, 침해사고 예방과 피해 최소화를 위한 종합 대책을 논의했다고 밝혔다.
금융당국은 최근 IT 기술 발전과 함께 해킹 수법이 점점 더 대담하고 치밀해지고 있으며, 실제 금융권에서 랜섬웨어 등 침해사고가 빈번히 발생하는 엄중한 상황임을 거론했다. 특히 "SGI서울보증 랜섬웨어 사태에서 보듯 금융회사의 작은 보안 실수도 큰 소비자 불편과 금융 신뢰 훼손으로 이어질 수 있는 점"을 언급하며, “금융 안전에 있어서는 과할 정도로 빈틈없이 점검하고 보완해야 한다”라고 밝혔다.
이에 금융당국은 단기적으로 전자금융서비스를 제공하는 금융 공공기관, 금융회사, 전자금융업자를 대상으로 7월 중 자체 점검표를 배포해 8월 말까지 랜섬웨어 등 침해사고 대비 자체점검과 보완을 완료하도록 지도했다.
금감원은 자체점검 결과를 토대로 9월부터 각 기관의 현장 점검 및 검사를 본격적으로 진행하기로 했다. 현장 점검에서는 최근 급증하는 랜섬웨어 대응 체계와 함께, 전산 장애 발생 시 신속한 복구가 가능한 백업 시스템 운영 현황을 집중적으로 들여다볼 계획이다.
아울러 금감원과 금융보안원은 9월부터 사전 예고 없이 실시하는 ‘블라인드 모의해킹’을 금융권 전반에 걸쳐 시행한다. 이를 통해 각 금융사의 해킹 대응체계가 실효적으로 작동하는지, 취약점은 무엇인지 현장 점검을 강화하고, 문제점이 확인되면 즉각적인 보완 조치를 촉구할 방침이다.
금융보안원은 특히 “가상사설망(VPN) 등 외부 접근 인프라의 취약점을 주기적으로 점검해 제거하고, 불필요한 네트워크 서비스 포트를 철저히 차단할 필요가 있다”라고 당부했다.
제도 개선 차원에서는 중대한 보안사고가 발생할 경우 징벌적 과징금 부과 방안을 추진하고, 정보보호최고책임자(CISO)의 권한과 독립성을 대폭 강화해 금융회사의 보안 강화 활동을 실질적으로 주도할 수 있도록 할 계획이다. 또한 금융권 전반의 침해 위협정보를 실시간으로 체계적으로 관리·전파하는 ‘통합관제시스템’ 구축도 조속히 추진한다.
소비자 피해 방지에도 만전을 기한다. 보안 사고 발생 시 사고 시점과 경과, 소비자 주의사항 등을 외부에 신속하고 투명하게 공개하도록 하고, 금융회사별 보안 수준을 소비자가 비교·선택할 수 있도록 공시 제도를 확대한다. 전산 사고로 업무가 중단됐을 때는 신속한 우회 서비스 제공과 소비자 피해 보상이 가능한 금융회사별 대응 매뉴얼도 의무화해 실효성을 높이기로 했다.
김동환 금융위 디지털금융정책관은 “SGI서울보증 사태에서 알 수 있듯이, 금융회사의 작은 보안 허점 하나가 막대한 소비자 피해로 이어질 수 있다”라며 “금융 신뢰와 안전 유지를 위해 금융권 전반에 걸쳐 무조건적으로 빈틈없는 점검과 보완 노력이 필요하다”라고 말했다.
금감원은 “이번 자체점검과 현장점검, 모의해킹 등 다각적인 점검을 통해 유사 사고 재발을 철저히 차단하겠다”라고 밝혔다. 금융보안원 역시 “금융권 보안 인프라에 대한 지속적이고 체계적인 취약점 관리가 필수적”이라고 덧붙였다.
