금감원 "CEO 책임도 물을 것" — 증권·보험사가 기본 보안통제를 기록으로 증명하는 법
금감원이 해킹 사고가 난 증권·보험사에도 CEO 책임을 묻겠다고 밝혔습니다. 책임 기준이 기본 보안통제 이행 여부로 옮겨 가는 만큼, 통제를 운영했다는 사실을 보여 줄 기록을 정리했습니다.
금융감독원이 해킹 사고가 난 대형 증권사·보험사에도 은행권처럼 CEO 등 경영진 책임을 묻겠다고 밝혔습니다. 기본 보안통제가 미흡하거나 취약점을 방치해 사고가 나면 매출의 최대 3%를 과징금으로 물리는 법 개정도 추진되고 있습니다. 이 글에서는 이번 발표가 무엇을 바꾸는지, 그리고 금융회사가 '기본 통제를 했다'는 사실을 어떤 기록으로 보여 줄 수 있는지 정리했습니다.
핵심 요약
금융감독원장은 11월 3일 임원회의에서 해킹 사고가 난 대형 금융투자회사·보험사에 대해 은행권과 같은 기준으로 CEO 등 경영진 책임까지 엄중히 묻겠다고 밝혔습니다. 법인보험대리점(GA)처럼 전자금융거래법 적용을 받지 않는 회사까지 외부 접점을 점검하고, 취약점이 해소되기 전에는 외부 접근을 원칙적으로 막을 방침입니다. 핵심은 책임의 기준이 '사고가 났는가'에서 '기본 보안통제를 제대로 이행했는가'로 옮겨 가고 있다는 점이며, 금융회사는 외부 접점·취약점 조치·계정 권한·접속기록 점검·경영진 보고를 기록으로 남겨 두어야 합니다.
무슨 일이 있었나
금융감독원장은 11월 3일 임원회의에서 해킹 사고가 난 대형 금융사의 경영진 책임 확대, 외부 접점 전수 점검, 징벌적 과징금 법 개정 지원이라는 세 가지 방침을 밝혔습니다. 금융감독원장은 최근 금융권 해킹 사고 대응 현황을 점검하면서, 외부 접근을 꼭 필요한 경우를 빼고 원칙적으로 차단하라고 요구했지만 눈에 띄는 변화가 없다고 지적했습니다. 최근 몇 달 사이 증권사·자산운용사·생명보험사 등에서 고객 정보 유출과 침해 사고가 잇따른 상황입니다.
이에 따라 금감원은 세 가지 방향을 제시했습니다.
- 경영진 책임 확대: 은행권에 적용하기로 한 검사·제재 기준을 대형 증권사·보험사에도 똑같이 적용해 CEO 등 경영진 책임까지 묻습니다.
- 외부 접점 전수 점검: GA 등 전자금융거래법 미적용 회사를 포함해 금융권 외부 접점을 점검하고, 금전 피해로 이어질 수 있는 접점부터 우선 확인합니다. 이행 여부는 금감원 IT 전문인력이 사후 확인합니다.
- 징벌적 과징금 법 개정 지원: 기본 통제 부실이나 취약점 방치로 해킹이 발생하면 매출액의 최대 3%를 과징금으로 부과하는 전자금융거래법 개정을 지원합니다. 개정 전이라도 사고 여부 등에 따라 감독 분담금을 차등 부과하는 방안을 검토합니다.
과징금 관련 법 개정은 아직 국회 논의 단계로, 확정된 제도는 아닙니다.
왜 지금 주목해야 하나
이번 발표의 핵심은 처벌의 잣대가 사고 결과보다 '기본 통제를 했는가'로 옮겨 가고 있다는 점입니다. 과징금 요건으로 제시된 표현도 해킹 피해 규모가 아니라 '기본 통제 부실'과 '취약점 방치'입니다.
금융권에는 이미 임원별 관리 책임을 문서로 정하는 책무구조도가 도입돼 있습니다. 이 제도는 경영진이 맡은 관리 의무를 실제로 수행했는지를 중심으로 책임을 따지는 방향으로 운영됩니다. 결국 사고가 났을 때 회사가 내놓을 수 있는 답은 "우리는 이런 통제를 이렇게 운영했고, 그 기록이 여기 있다"가 됩니다.
또 하나는 적용 범위입니다. 그동안 보안 감독의 중심이 은행이었다면, 이제 증권·보험사, 그리고 GA처럼 전자금융거래법 밖에 있던 회사의 외부 접점까지 점검 대상에 들어왔습니다.
기업·보안 담당자에게 미치는 영향
보안 담당자에게 가장 큰 변화는 '통제가 있다'와 '통제를 운영했다는 증거가 있다'가 다른 문제가 된다는 점입니다.
- 외부 접근 예외 관리: 외부 접근 차단 원칙에는 예외 관리가 따라옵니다. 업무상 꼭 필요한 외부 접근을 남겨 둔다면, 왜 필요한지와 누가 승인했는지, 언제까지 허용하는지를 설명할 수 있어야 합니다.
- 취약점 조치 이력: 취약점은 발견보다 조치 이력이 중요해집니다. '방치'를 판단하는 기준은 결국 취약점을 알게 된 뒤 얼마 만에 어떤 조치를 했느냐이기 때문입니다.
- 경영진 보고 기록: 보안 보고가 경영진 의사결정 기록이 됩니다. 금감원은 CEO와 이사회가 내년 보안 예산과 인력 확충에 앞장서야 한다고 강조했습니다. 보안 현황과 위험이 경영진에게 언제 어떻게 보고됐고 어떤 결정이 내려졌는지가 경영진 책임 판단의 근거가 될 수 있습니다.
기본 보안통제를 증명하는 기록 5가지
기본 보안통제를 증명하려면 통제 항목마다 '무엇을, 얼마나 자주, 어떤 형태로' 남기는지 미리 정해 두는 것이 출발점입니다. 아래 표는 이번 발표에서 강조된 항목을 기준으로 정리한 예시입니다.
| 통제 항목 | 남겨야 할 기록 | 확인 포인트 |
|---|---|---|
| 외부 접점 관리 | 외부 접점 목록, 차단·허용 현황, 예외 승인 내역(사유·승인자·기한) | 목록이 실제 운영 환경과 일치하는지, 기한 지난 예외가 남아 있지 않은지 |
| 취약점 조치 | 점검 결과, 조치 완료일, 미조치 항목의 보완 통제와 일정 | 고객·자산 관련 시스템의 취약점이 장기간 열려 있지 않은지 |
| 계정·권한 관리 | 특권계정 목록, 권한 부여·변경·회수 이력, 정기 권한 검토 결과 | 퇴직·전보·계약 종료자의 권한이 제때 회수됐는지 |
| 접속기록 점검 | DB·서버 접속기록, 정기 점검 결과, 이상 접근 발견 시 사후 조치 | 점검이 실제로 수행되고 결과가 처리됐는지 |
| 경영진 보고 | 보안 현황·위험 보고 자료, 이사회·경영진 의사결정, 예산·인력 반영 내역 | 보고가 정기적으로 이뤄지고 결정이 실행으로 이어졌는지 |
기록은 사고가 난 뒤에 만들 수 없습니다. 지금 운영 중인 통제가 어떤 흔적을 남기고 있는지, 그 흔적을 필요할 때 바로 꺼낼 수 있는지부터 확인해 보시기 바랍니다.
자주 묻는 질문
전자금융거래법상 매출 3% 징벌적 과징금은 이미 시행되고 있나요?
아닙니다. 기본 통제 부실이나 취약점 방치로 해킹이 발생하면 매출의 최대 3%를 과징금으로 부과하는 내용은 전자금융거래법 개정으로 추진 중이며, 금감원은 개정을 지원하겠다고 밝힌 단계입니다. 다만 법 개정 전에도 사고 여부에 따른 감독 분담금 차등 부과가 검토되고 있습니다. 참고로 정보통신망법에도 고의·중과실로 침해사고가 반복된 사업자에게 매출 최대 3% 과징금을 부과하는 규정이 올해 10월부터 시행되고 있어, 두 제도를 구분해 보는 것이 좋습니다.
은행이 아닌 증권사·보험사도 CEO 책임 대상이 되나요?
금감원은 해킹 사고가 난 대형 금융투자회사와 보험사에도 은행권과 같은 기준으로 CEO 등 경영진 책임을 묻겠다고 밝혔습니다. 구체적인 제재 수준은 개별 사고의 검사 결과에 따라 정해집니다.
기본 보안통제는 무엇부터 점검해야 하나요?
고객 자산과 금전 피해로 이어질 수 있는 외부 접점부터 확인하는 것이 좋습니다. 금감원도 이 접점을 우선 점검 대상으로 제시했습니다. 이어서 그 시스템에 접근할 수 있는 계정과 권한, 접속기록 점검 체계가 실제로 운영되고 기록으로 남는지 확인합니다.
상담 안내
우리 회사의 접근 권한과 외부 접속, 접속기록 점검이 '했다'는 말이 아니라 기록으로 설명될 수 있는지 점검해 보시기 바랍니다. PNPSECURE는 DB·시스템 접근통제와 계정·권한 관리, 접속기록 관리를 오랫동안 다뤄온 경험을 바탕으로 금융회사의 통제 이행 기록을 정리하는 방안을 함께 검토합니다. 금융권 기본 보안통제·접근 기록 관리 상담으로 문의해 주세요.
