若放任重大安全漏洞，CEO将担责……金融监管部门拟强化金融机构内部控制
金融公司安全内部控制现状调查后制定改进方案
明确首席执行官、首席信息官、首席信息安全官的责任及决策程序
“明知存在漏洞仍拖延处置将严肃追责”……完善责任体系
金融监管部门以近期接连发生的金融业黑客攻击事件为契机，正推动将包括首席执行官在内的管理层安全责任以及报告、决策程序明确写入金融公司的内部规章等文件。此举旨在全面检查从事故预防到黑客攻击发生后的应对措施在内的内部控制体系，并明确表示，若金融公司疏忽了必要的安全措施，最终将追究首席执行官的责任。
据金融监管部门15日消息，金融监督院计划通过对金融公司所有外部接入点开展全面实况调查等方式，了解安全内部控制的设计与运行情况，并制定改进方案。
此前，针对555家金融公司开展的紧急检查清单核查，重点在于防止进一步遭受攻击；此次则将审视从发现漏洞到报告、采取后续措施及最终决策的整套流程是否有效运行。金融监管部门前一天表示，已确认在新韩银行事件前后，16家公司发生网络入侵事故，约10万条个人信息泄露，并公布了后续对策。
强化内部控制措施的核心，在于明确首席执行官、首席信息官和首席信息安全官之间的职责分工。目前，金融公司的首席信息安全官负责信息安全，首席信息官则负责信息系统的运营与稳定。即使首席信息安全官发现安全漏洞并要求整改，实际的系统修补工作仍由首席信息官下属部门负责，因此若整改延迟，就可能引发事故。金融监管部门认为，尤其是在安全补丁或系统停运问题上，首席信息安全官要求加强安全防护的主张与首席信息官确保服务连续性的判断发生冲突时，有必要明确由首席执行官协调并作出最终决策的程序。此次引发争议的外部接入点建设与运营工作涉及首席信息官，监管部门也认为，首席信息官不能免于对黑客攻击事故承担责任。
一名金融监管部门负责人表示：“要迅速应对网络入侵事故，不仅首席信息安全官，首席信息官乃至最终的首席执行官，其职责和责任都必须明确。”他还表示：“这有助于进一步提升现有责任结构图的实际效力，因为它将使管理层的决策和责任更加具体。”
金融监督院计划先了解各金融公司如何发现、检查并修补外部漏洞，再据此制定改进方案。目前正在研究制定指导方针，并要求金融公司将其纳入内部规章。监管部门还计划推动完善现有责任结构图中未能在实际工作中落实的责任规定。此前，共同民主党议员 Yoo Dongsoo 也曾于2025年11月提出《电子金融交易法》修正案，内容包括明确首席执行官在信息安全方面的责任、强化首席信息安全官的权限等。
如果今后通过制度完善，进一步明确金融公司管理层的安全责任，那么发生黑客攻击事故时，相关义务是否得到切实履行，预计也将成为金融监管部门今后实施制裁时的重要判断依据。根据事故经过和违反责任的程度，制裁对象可能包括首席执行官在内的管理层。不过，金融监管部门表示，不会仅因事故发生就一概追究责任，而是将综合考虑事前预防工作、安全措施落实情况以及事故发生后的应对等因素。
一名金融监管部门负责人强调：“安全是首席执行官必须亲自认识到其重要性，并从预防到事故应对都负起责任的核心课题，因此有必要进一步强化内部控制。”他还表示：“如果切实落实了预防网络入侵事故所需的措施，监管部门会予以考虑；但如果明知存在重大漏洞，却疏于应对并因此引发事故，就应严格追究管理层责任。”
另一方面，据金融监管部门介绍，在新韩银行贷款招揽人员接入系统遭黑客攻击前后，确认发生网络入侵事故的金融公司共有16家，涵盖银行、储蓄银行、互助金融、专业信贷金融、电子金融、在线投资关联金融业务以及虚拟资产经营者等所有业态。截至目前，确认泄露的信息约有10万条，包括姓名、联系方式和居民登记号码等；尚未发现账户密码或银行卡号等可能直接导致欺诈性支付的信息泄露。
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
