금감원, 금융권 보안규제 강화…징벌적 과징금·정보보호 공시 추진

이찬진 금융감독원장이 19일 국회 정무위원회에서 열린 금융감독원 등에 대한 국정감사에서 선서문을 위원장인 더불어민주당 유동수 의원에게 제출하고 있다. [사진= 연합뉴스 nowwego@yna.co.kr 제공] 금융감독원이 잇따른 금융권 해킹 사고를 계기로 금융회사의 보안 관리 책임을 강화한다. 정보보호 예산과 인력의 공시 의무화를 추진하고 중대·반복 침해사고에 대한 제재 수위도 높일 방침이다. 인공지능(AI)을 활용한 사이버 공격이 확산하는 상황에서 보안 취약점 관리부터 금융회사 경영진의 책임까지 감독 범위를 확대하는 것이다. 19일 국회 정무위원회 국정감사에 제출된 금융감독원 업무현황 자료에 따르면 금감원은 금융보안 감독체계를 사후제재 중심에서 사전예방 중심으로 전환하고 금융회사의 자체 보안역량 강화를 위한 제도개선을 추진한다. 핵심은 보안 취약점에 대한 사전 관리와 금융회사의 정보보호 투자 확대다. 금감원은 금융회사가 보유한 정보기술(IT) 자산의 식별·관리 수준을 높이고 보안 취약점을 신속하게 개선하도록 관련 점검 기준을 보완할 계획이다. AI 기반 공격에 대응하기 위한 모의해킹 훈련도 확대한다. 보안 관리 책임을 강화하기 위한 법적 장치도 추진한다. 금감원은 금융위원회와 협의해 이행강제금 신설, 정보보호최고책임자(CISO) 독립성 강화, 정보보호 공시 신설, 징벌적 과징금 도입 등을 담은 전자금융거래법 개정을 지원할 방침이다. 금융회사의 정보보호 예산과 인력 투자 확대를 유도하고 보안 사고에 대한 제재의 실효성을 높이려는 취지다. 금융회사의 자체 점검과 개선을 유도하기 위한 감독 방식도 바뀐다. 금감원은 불시 현장점검을 실시하는 한편 IT 내부통제를 자율적으로 개선한 금융회사에는 제재 감경을 검토한다. 반대로 부실한 자체 점검이나 과대평가 등 자율시정체계의 신뢰를 훼손하는 행위에는 엄정 대응할 계획이다. 금감원은 올해 2월부터 통합관제시스템 'FIRST'를 본격적으로 가동하고 9월까지 소프트웨어 취약점과 침해사고 관련 위협정보 등 213건을 금융권에 전파했다. 특히 8월 20일부터 9월 30일까지 최근 금융권 침해사고에 앞서 공격자 IP 등 침해지표와 외부 접점 시스템 공격 관련 정보 20건을 집중적으로 공유했다. 실전 대응훈련도 확대했다. 블라인드 모의해킹 대상은 지난해 20개사에서 올해 40개사로, 보안 취약점을 찾아내는 버그바운티 참여 대상은 34개사에서 70개사로 늘렸다. 생성형 AI 서비스의 정보...