금감원, 금융권 IT리스크 사전예방 강화…불시점검·컨설팅 확대

(서울=연합인포맥스) 유수진 기자 = 금융감독원이 금융권의 IT리스크에 대한 사전예방적 감독체계를 강화한다.

최근 금융권에서 잇따라 정보유출 사고가 발생한 만큼 금융회사의 대응 역량 강화 등을 유도해 안전한 디지털 환경을 구축하겠다는 방침이다.

19일 금감원이 국회 정무위원회에 제출한 국정감사 업무현황 자료에 따르면, 금감원은 프런티어AI 등 사이버 위협에 대비할 수 있도록 취약점 분석·평가의 점검 기준을 실효성 있게 보완할 계획이다.

IT자산 식별·관리를 고도화하고 다량의 보안 취약점에 대한 조치 속도를 높이는 게 핵심이다.

금융회사의 자율보안 역량을 강화하기 위해 불시 현장점검을 실시하고, IT 내부통제 우수 금융사에 대한 인센티브 도입 등도 추진한다.

자율시정을 통해 IT 내부통제가 우수한 경우 제재 감경도 적극 검토한다. 불성실 자율점검이나 과대평가 등 자율 시정체계 운영을 저해하는 경우엔 엄중 제재를 가할 방침이다.

보안 예산·인력 투자 확대 유도 및 실효성 있는 제재 근거를 마련하기 위해 전자금융거래법(전금법) 개정도 적극 지원한다. 이행강제금 신설과 정보보호최고책미자(CISO) 독립성 강화, 정보보호 공시 신설, 징벌적 과징금 도입 등이 골자다.

금감원은 사고다발사 등을 대상으로 IT프로세스 및 의사결정 구조의 적정성을 진단하고 개선방안을 제시하는 맞춤형 컨설팅을 확대할 계획이다.

위규사항 적발 중심의 기존 검사방식과 달리 IT운영구조, 프로그램 변경 통제, 성능관리·장애 예방, 장애 복구·재발방지 체계 등의 적정성 등을 정밀 진단한다.

금감원은 지난 2월 통합관제시스템을 본격 가동해 금융권의 IT리스크 대응체계 및 관계기관 공조를 강화해왔다. 전 금융권에 소프트웨어의 취약점과 침해사고 관련 위협정보 및 유의사항 등을 전파했다.

금융사의 복원력 강화 등을 위해 블라인드 모의해킹, 버그바운티 등 실전훈련 대상과 범위도 확대했다.

모의해킹 훈련 대상은 지난해 20개사에서 올해 40개사로, 버그바운티는 34개사에서 70개사(가상자산 및 GA 추가)로 늘렸다. 훈련 범위에 생성형 AI 서비스 제공 과정에서 발생할 수 있는 정보 유출 가능성과 비정상 응답 유도 등도 추가했다.

IT리스크에 대비한 금융회사의 자체 대응 역량 강화도 유도해왔다.

IT 취약부문을 분석해 고위험사 대상 현장검사를 실시했고 사고다발사에 대한 IT운영구조 개선 컨설팅도 제공했다.

지난 7월 제3자 IT리스크 관리 강화를 위한 가이드라인을 마련한 데 이어 8월엔 사전예방 및 운영복원력 제고를 위해 IT실태평가를 개정했다. 기존 규정 중심에서 핵심 IT리스크 및 통제의 실효성 중심으로 전면 개편했다.

이 밖에도 금감원은 오는 12월 개정 전금법 시행에 맞춰 전금업자 경영공시, 전자지급결제대행(PG) 정산자금 외부관리 제도가 현장에 안착하도록 세부 기준·절차 마련에 나선다. 전자금융업 신뢰성 및 거래 안전성 제고 차원이다.

금감원 관계자는 "온라인 부정결제 예방을 위한 PG사의 이상거래탐지 시스템(FDS) 고도화, 보안역량 및 자금세탁방지(AML) 내부통제 강화 등을 주요 내용으로 하는 업계 표준 실무지침을 마련할 것"이라고 말했다.

sjyoo@yna.co.kr