금감원, 금융권 보안 전수점검 내주 착수…체크리스트 배포

필요시 현장점검…내년 상반기까지 보완 조치해야

(서울=연합인포맥스) 허동규 기자 = 금융감독원이 금융권 해킹 사고 재발을 막기 위해 전 금융회사의 보안 관리 시스템에 대한 전수점검에 나선다.

5일 금융권에 따르면 금감원은 사전에 예고했던 금융회사 보안체계·관리시스템 전수점검과 관련해 금융회사들에 점검 항목을 정리한 엑셀 파일을 배포했다.

본격적인 점검에 앞서 체크리스트 양식을 먼저 전달한 것으로, 점검 기간과 항목의 실효성 등에 대한 금융회사들의 의견을 수렴하기 위한 목적이다.

중소형 금융회사에는 별도의 체크리스트를 배포하지 않고 금융협회 등을 통해 의견을 취합하고 있다.

금감원은 취합한 의견을 바탕으로 체크리스트를 보완한 뒤 이르면 다음주부터 전수점검에 착수할 것으로 보인다.

점검은 지난달 555개사를 대상으로 진행한 긴급 자체점검과 마찬가지로 금융회사들이 배포된 체크리스트를 바탕으로 자체적으로 점검하는 방식이다.

이후 자체점검 결과는 이달 말까지 제출하도록 했다.

점검 과정에서 미흡한 사항이 발견되면, 내년 상반기까지 보완 조치를 완료하도록 할 방침이다. 필요에 따라 금감원이 직접 현장점검에 나서는 방안도 검토하고 있다.

주요 점검 항목에는 회사 전산시스템이 외부와 연결되는 모든 접점의 목록화 및 현행화 여부, 외부 접점에 대한 인증·접근 통제와 권한 관리 실태, CEO·CISO·CIO 등 경영진의 책임 범위와 보고 체계가 명확하게 설정돼 있는지 등이 포함된 것으로 전해진다.

이번 전수점검은 최근 금융권에서 해킹에 따른 정보유출 사고가 잇따라 발생하는 가운데 사고가 은행·보험·증권 등 전통 금융회사뿐 아니라 상대적으로 IT 보안이 취약한 전자금융거래법 미적용사까지 확대된 데 따른 것이다.

특히 금감원은 실제 금전 피해가 발생한 가상자산사업자와 온라인투자연계금융업자 등을 우선 점검하고 대응 계획을 마련할 계획이다.

앞서 이찬진 금감원장도 지난 3일 임원회의에서 "IT 보안이 취약한 '약한고리'인 전자금융거래법 미적용사까지 전방위적으로 확대되고 있다"며 "가상자산사업자, 온라인투자연계금융업자 등에서는 금전 피해까지 발생해 한층 강화된 대비 태세를 갖추는 것이 시급하다"고 지적했다.

그러면서 "추가 사고 방지를 위해 GA·대부업·가상자산업·온투업 등 전금법 미적용사를 포함한 전 금융권의 외부 접점을 전수점검하도록 하고, 실효성 확보를 위해 금감원 IT 전문 인력을 총동원해 이행 여부를 사후 확인하겠다"고 덧붙였다.

다만 금융권 안팎에서는 자체점검 위주의 전수점검이 실제 해킹 위협에 대응하는 데 얼마나 실효성이 있을지를 두고 의문도 제기된다.

침해사고가 상시적으로 발생하고 해킹 수법도 고도화하는 상황에서 체크리스트를 통한 점검만으로 실질적인 보안 수준을 높일 수 있겠느냐는 것이다.

한 금융권 관계자는 "침해사고가 하루에도 상당히 많이 발생하고 금융회사 해킹도 계속 이어지는 상황에서 보안 실무자들 사이에서는 이번 전수점검이 실제 해킹 위협에 대응하는 데 얼마나 도움이 될지 의문이라는 반응도 나온다"고 말했다.

다른 금융권 관계자는 "금융당국이 전 금융권을 대상으로 외부 접점 전수점검에 본격 착수하기 전에 점검 항목에 무리가 없는지 의견을 취합하기 위해 체크리스트를 보냈다"며 "점검 항목이 상당히 많은 만큼 어떤 항목을 중심으로 조사하고 점검해야 실효성을 확보할 수 있을지 검토해 의견을 제출하고 있다"고 설명했다.

dghur@yna.co.kr