금감원 "대표이사가 IT 보안 챙겨야…고위험사 현장점검"

자율시정 관련 불시 현장점검
IT 기본통제 미흡시 엄중조치

금융감독원은 금융회사 대표이사를 비롯한 경영진에게 전사 차원의 정보기술(IT) 보안 강화 방안과 조직·예산·인력을 마련하라고 9일 독려했다. 향후 검사 시 IT 기본통제가 미흡한 고위험 금융사에 대해서는 현장 점검을 시행할 계획이라고 밝혔다.

서울 여의도 금융감독원 본원. 금감원

금감원은 이날 오후 서울 여의도 금감원 본원에서 이종오 디지털·IT 부문 부원장보 주재로 '전금융권 정보보호최고책임자(CISO) 간담회'를 열고 금융사에 IT 내부통제 강화를 주문했다. 간담회엔 은행·금융투자·보험·여신·저축은행·핀테크 협회 담당 임원과 16개사 CISO가 참석했다.

이번 간담회는 프런티어 인공지능(AI) 기반 사이버위협이 현실로 다가오는 상황에서 금융사의 대응상황을 살펴보고 경영진 중심의 대비 태세 강화를 독려하기 위해 마련됐다.

금감원에 따르면 지난 4월 앤트로픽의 프런티어 AI 미토스 공개 이후 보안 위협이 확대됐다.

미국 국립표준기술연구소(NIST)가 공개한 신규 취약점 건수는 지난해 상반기 2만3664건에서 올해 상반기 3만5872건으로 1만2208건(51.6%) 증가했다. 한국인터넷진흥원(KISA)이 발표한 보안공지 건수도 같은 기간 136건에서 199건으로 63건(46.3%) 늘었다.

이에 금감원은 AI를 해킹에 악용할 경우 보안 취약점의 신속한 탐지뿐 아니라 다수의 금융사를 대상으로 한 자동화된 대량공격까지 가능한 만큼 금융보안 체계를 한층 강화해야 하는 상황이라고 진단했다.

이날 간담회에서 금감원은 ▲AI 기반 보안 위협 대비 태세 강화 ▲IT 기본통제 철저 및 금융사 자율시정체계 확립 등에 관해 논의했다.

우선 금감원은 전사 차원에서 ▲IT 자산 식별·관리체계 구축 ▲대규모 보안패치 대비 등 핵심과제를 완비해야 한다고 강조했다. 이에 상당한 시간과 비용이 수반되는 만큼 경영진이 적극적으로 참여하는 것이 중요하다고 독려했다.

금감원은 대응이 미흡한 금융사에 대해서는 밀착감시, 현장점검, 경영진면담 등을 통해 집중 관리할 계획이다.

AI 보안 외에 IT 기본 통제 미흡 사항에 관해서도 논의했다. 금감원은 지난 7월부터 전금융권을 대상으로 IT 기본통제 준수 여부를 스스로 점검·보완하는 '자율시정'을 진행 중이다.

금감원은 금융사에 적극적인 참여를 통해 내부통제상 미흡점을 적시에 점검·보완하는 자율시정체계를 확립하라고 요구했다.

그러면서 향후 검사 시 IT 기본통제 운영 실태를 중점 점검하고, 기본통제가 미흡한 고위험사에 대해서는 현장점검을 실시할 방침이라고 안내했다.

금감원은 자율시정 체계 확립을 위해 중요 위협정보, 진단도구(체크리스트) 등을 금융사에 적시 전파할 예정이다. 또한 불시 현장점검 등을 통해 자율시정의 실효성을 높일 방침이다.

이 부원장보는 "AI 기반의 사이버공격이 본격화되는 상황에서 IT 기본통제가 흔들리면 사고가 되풀이돼 금융사와 고객에게 막대한 피해를 초래할 수 있다"며 "경영진은 기본통제 확립을 위한 자율시정에 앞장서 달라"고 요청했다.

이어 "형식적·소극적 자율시정에 따라 IT 기본통제 미흡이 원인이 돼 대규모 IT·침해사고가 발생할 경우 최대한 엄중조치할 예정"이라고 덧붙였다.

문채석 기자 chaeso@asiae.co.kr