중대 보안 취약점 방치 땐 CEO 책임…금융당국, 금융사 내부통제 강화 추진

금융사 보안 내부통제 실태조사 후 개선안 마련
CEO·CIO·CISO 책임·의사결정 절차 구체화
"취약점 알고도 조치 미루면 엄단"…책임체계 보완

금융당국이 잇단 금융권 해킹 사고를 계기로 최고경영자(CEO)를 비롯한 경영진의 보안 책임과 보고·의사결정 절차를 금융회사 내규 등에 명문화하는 방안을 추진한다. 사고 예방부터 해킹 발생 이후 대응까지 내부통제 체계 전반을 점검하고, 필요한 보안 조치를 소홀히 했다면 최종적으로는 CEO의 책임까지 따지겠다는 취지다.

15일 금융당국에 따르면 금융감독원은 금융회사 외부 접점 전수 실태조사 등을 통해 보안 내부통제의 설계·운영 현황을 살펴보고 개선방안을 마련할 계획이다.

앞서 555개 금융회사를 대상으로 실시한 긴급 체크리스트 점검이 추가 침해를 막는 데 집중했다면, 이번에는 취약점 인지부터 보고와 후속 조치, 최종 의사결정에 이르는 절차가 제대로 작동했는지를 들여다본다. 전날 금융당국은 신한은행 사고 전후 16개사에서 약 10만건의 개인정보가 유출된 침해사고를 확인했다고 밝히고 후속 대책을 발표했다.

내부통제 강화 조치의 핵심은 CEO와 최고정보책임자(CIO), 최고정보보호책임자(CISO) 간 역할과 책임 분담이다. 현재 금융회사에서 CISO는 정보보호를, CIO는 전산 시스템 운영과 안정성을 담당한다. CISO가 보안 취약점을 발견해 개선을 요구하더라도 실제 시스템 보완은 CIO 산하 조직이 맡는 만큼, 조치가 지연되면 사고로 이어질 수 있다. 특히 보안 패치나 시스템 중단을 놓고 CISO의 보안 강화 요구와 CIO의 서비스 연속성 확보 판단이 충돌할 경우 CEO가 이를 조정하고 최종 의사결정을 내리는 절차를 명확히 할 필요가 있다는 게 금융당국의 판단이다. 이번에 논란이 된 외부 접점 구축·운영에 관여하는 CIO 역시 해킹 사고에 대한 책임에서 자유로울 수 없다는 인식도 깔려 있다.

금융당국 관계자는 "침해 사고에 신속히 대응하려면 CISO뿐 아니라 CIO, 최종적으로는 CEO의 역할과 책임이 분명해야 한다"며 "경영진의 의사결정과 책임을 보다 구체화한다는 점에서 기존 책무구조도의 실효성을 높이는 역할을 한다고 볼 수 있다"고 밝혔다.

금감원은 금융회사가 외부 취약점을 어떻게 인지·점검·보완하는지 회사별 실태를 파악한 뒤 개선방안을 마련할 예정이다. 가이드라인을 마련해 금융회사 내규에 반영하도록 하는 방안을 검토 중이다. 기존 책무구조도에 규정된 책임이 실제로 작동하지 않는 부분을 보완하는 방안도 추진할 수 있다는 방침이다. 앞서 유동수 더불어민주당 의원도 정보보호와 관련해 CEO 책임을 명확히 하고 CISO의 권한을 강화하는 내용 등을 담은 전자금융거래법 개정안을 지난해 11월 발의한 바 있다.

향후 제도 개선으로 금융회사 경영진의 보안 책임이 구체화되면 해킹 사고 발생 시 관련 의무를 제대로 이행했는지도 향후 제재 시 금융당국의 주요 판단 대상이 될 전망이다. 사고 경위와 책임 위반 정도에 따라 CEO를 비롯한 경영진 제재까지 이어질 수 있는 것이다. 다만 금융당국은 사고 발생 자체만으로 일률적으로 책임을 묻기보다는 사전 예방 노력과 보안 조치 이행 여부, 사고 이후 대응 등을 종합적으로 고려한다는 방침이다.

금융당국 관계자는 "보안은 CEO가 직접 중요성을 인식하고 예방부터 사고 대응까지 책임 있게 챙겨야 할 핵심 과제인 만큼 내부통제를 한층 강화할 필요가 있다"며 "침해 사고 예방을 위해 필요한 조치를 충실히 이행했다면 이를 참작하되, 중대한 취약점을 알고도 대응을 소홀히 해 사고가 발생했다면 경영진의 책임을 엄정하게 따져야 할 것"이라고 강조했다.

한편 금융당국에 따르면 신한은행 대출모집인 접속 시스템 해킹 전후로 침해 사고 발생이 확인된 금융회사는 은행·저축은행·상호금융·여신전문금융·전자금융·온라인투자연계금융업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사다. 현재까지 확인된 정보유출 규모는 성명·연락처·주민등록번호 등 약 10만건으로, 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다.

권해영 기자 roguehy@asiae.co.kr