이억원 금융위원장 “금융사 CEO, 비상대응반 즉시 꾸려라”…580곳 보안 전수점검 극약처방

이억원 금융위원장(가운데)이 5일 서울 여의도 금융보안원 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 전 업권 협회장들과 AI 해킹 대응 방안을 논의했다. [사진= 금융위원회 제공]

이억원 금융위원장이 전 금융권 최고경영자(CEO)에게 전사적 비상대응반을 즉시 구성하라고 주문했다. 9월 말 이후 금융사 37곳에서 침해사고가 잇따르자 약 580개 금융사에 대한 보안 전수점검에 착수하면서 CEO에게 보안을 직접 챙기라고 경고한 것이다.

이 위원장은 5일 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 “고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것”이라고 말했다. 이어 현 상황을 '절체절명의 위기'로 규정했다.

그는 “보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제”라고 강조했다. 협회장들에게는 각 금융사 비상대응반과 소통할 상황관리반을 따로 꾸려 달라고 요청했다.

간담회에는 은행연합회, 생명·손해보험협회, 금융투자협회, 여신금융협회, 저축은행중앙회, 신협·농협·수협·새마을금고 중앙회, 핀테크산업협회, 디지털자산거래소공동협의체(DAXA), 온라인투자연계금융협회 등 전 금융업권 협회장이 참석했다. 금융감독원 수석부원장, 금융보안원과 국무조정실, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 방송미디어통신위원회, 경찰청, 한국인터넷진흥원(KISA) 등 관계기관도 함께했다.

9월 30일 이후 신고된 침해사고는 40건, 정보유출 규모는 약 47만3000건이다. 일부 가상자산거래소·전자금융업자·온라인투자연계금융업자에서는 약 10억원의 자금이 탈취됐다. 계좌 비밀번호 유출이나 개별 이용자 자금손실은 아직 확인되지 않았다.

전수점검 대상에는 은행·보험·증권과 전자금융업자가 포함된다. 전자금융거래법(전금법) 적용을 받지 않는 가상자산사업자도 대상이다. 직원관리·제휴업무 등 외부에서 접근할 수 있는 모든 시스템과 내부통제 실태를 점검한다. 관리대장에 등재된 외부접점은 이달 말까지, 미등재 시스템과 내부통제는 연말까지 점검을 마친다.

중대한 취약점이 발견되면 즉시 서비스를 중단해야 한다. 점검 이후 사고가 나면 점검이 제대로 이뤄졌는지까지 따지고, 중대한 관리 부실은 CEO를 포함한 경영진 책임까지 엄정히 묻는다.

취약점 분석·평가 주기는 총자산 2조원·종업원 300명 이상 대형사부터 연 1회에서 2회로 늘린다. 중요 취약점을 장기간 방치하면 시정명령을 내리고, 이행하지 않으면 이행강제금을 부과하는 전금법 개정도 연내 추진한다.

보이스피싱 2차 피해 대응도 강화한다. 인공지능(AI)이 의심거래의 범죄 위험도를 0~100점으로 매기는 '피싱지수'를 이달 시범 도입한다. 피해금 일부를 금융사가 보상하는 무과실책임 법제화도 추진한다.

망분리 규제 전면해제 태스크포스(TF)는 이달 발족한다. 2027년 1분기까지 AI 기반 신보안체계 방안을 마련하는 게 목표다. 가상자산사업자·보험대리점(GA) 등에 전금법 수준의 보안규율을 적용하는 '디지털금융 안전법'도 같은 시기 발의를 추진한다.

류태웅 기자 bigheroryu@etnews.com