금융감독당국이 국내 금융사를 상대로 대대적 보안실태 점검에 들어간 것은 반복되는 해킹과 보안사고에도 여전히 금융권이 고객정보 보호에 허점을 드러내고 있기 때문이다.
금융당국은 보안 사고가 터진 금융사에 대한 제재를 강화하고 이달 안에 ‘금융전산보안 태스크포스(TF)’를 꾸려 6월까지 ‘IT보안 종합대책’을 내놓을 계획이다.
◇잊을만 하면 생각나는 금융사 정보보안 사고
금융권에서 해킹으로 인한 전산장애나 고객 정보 유출 사건은 수시로 터지고 있다.
현대캐피탈에서는 2011년 4월 웹사이트를 통해 서버에 침입한 해커가 42만명의 고객정보를 유출한 사태가 터졌다.
같은 달에는 농협에서 대규모 전산장애가 발생해 며칠 동안 현금자동입출금기(CD·ATM) 사용과 인터넷 뱅킹 이용이 중단되는 초유의 사태가 발생했다.
당시 피해는 복구 시스템조차 정상적으로 작동하지 못할 정도로 심각했다.
지난달 20일에는 북한 소행으로 추정되는 동시다발적 해킹이 발생해 언론사와 함께 신한은행, 농협은행 등이 피해를 입었다.
내부자가 연계된 보안 사고도 적지 않다.
삼성카드에서는 고객관리 담당 직원이 2010년 1월부터 2011년 8월까지 자사 서버를 해킹해 고객정보 192만건을 조회하고 이 가운데 47만건을 자신의 노트북에 옮긴 사실이 드러났다.
하나SK카드에서는 텔레마케팅 지원 업무를 하던 직원이 2011년 7월 약 9만7천여건의 고객 정보를 빼내 이중 5만1천여 건을 외부로 넘겼다.
하지만 고객정보 유출로 논란을 일으킨 금융사의 임원들은 모두 경징계만 받았다.
상황이 이러다보니 해킹은 물론 내부통제가 미흡해 생긴 개인정보 유출과 관련해 해당 금융사나 담당 임원에 대한 제재수위가 너무 낮은 것이 아니냐는 지적이 나온다.
강력한 제재를 통해 내부통제 시스템을 다잡는 것만으로도 보안사고 방지 효과가 상당할 것으로 예상되기 때문이다.
◇제재 강화·IT보안 종합대책으로 보안사고 줄인다
이 때문에 금융당국은 보안 사고가 발생한 금융사에 대한 제재를 강화할 방침이다.
금감원은 이달부터 전 금융사를 대상으로 IT·보안 실태를 점검하고 있는 것으로 알려졌다.
금감원 관계자는 “문제의 심각성을 고려해 (점검) 강도를 높이고 있다”면서 “검사 결과 문제가 있다고 판단되면 최고경영자 중징계 등 엄하게 문책할 방침”이라고 말했다.
이른바 ‘5·5·7’ 규정을 잘 지키고 있는지도 들여다볼 계획이다.
5·5·7 규정이란 ▲ 금융회사 인력의 5%를 IT 부문 배치 ▲ 이 중 5%는 보안인력으로 확보 ▲ IT 예산 중 7%는 보안예산으로 편성토록 한 것이다.
지난달 3·20 해킹사건 이후 금융위원회도 대응책 마련에 나섰다.
금융위는 이달 안에 ‘전자금융보안 태스크포스(TF)’를 꾸리고 6월까지 IT·보안 종합대책을 만들 계획이다. 이를 위해 지난주 금융당국과 시중은행, 금융결제원 등이 참여하는 실무진 사전회의를 열어 TF 발족에 대해 논의했다.
다만 일각에서 의견이 나온 것처럼 5·5·7 규정을 7·7·10으로 강화할 수 있을지는 미지수다.
5·5·7 룰을 대부분 준수하고 있는 대형 금융사조차 예산과 인력 충원에 부담을 느끼는데다 최근 입법예고된 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’ 통과되면 IT 인력을 늘리는 것이 더 어려워질 수 있기 때문이다.
금융당국의 한 관계자는 “업무를 위탁할 수 있게 하면서 인력을 늘리라고 하면 자칫 두 규정이 상충할 우려도 있다”며 조심스런 입장을 보였다.
연합뉴스
금융당국은 보안 사고가 터진 금융사에 대한 제재를 강화하고 이달 안에 ‘금융전산보안 태스크포스(TF)’를 꾸려 6월까지 ‘IT보안 종합대책’을 내놓을 계획이다.
◇잊을만 하면 생각나는 금융사 정보보안 사고
금융권에서 해킹으로 인한 전산장애나 고객 정보 유출 사건은 수시로 터지고 있다.
현대캐피탈에서는 2011년 4월 웹사이트를 통해 서버에 침입한 해커가 42만명의 고객정보를 유출한 사태가 터졌다.
같은 달에는 농협에서 대규모 전산장애가 발생해 며칠 동안 현금자동입출금기(CD·ATM) 사용과 인터넷 뱅킹 이용이 중단되는 초유의 사태가 발생했다.
당시 피해는 복구 시스템조차 정상적으로 작동하지 못할 정도로 심각했다.
지난달 20일에는 북한 소행으로 추정되는 동시다발적 해킹이 발생해 언론사와 함께 신한은행, 농협은행 등이 피해를 입었다.
내부자가 연계된 보안 사고도 적지 않다.
삼성카드에서는 고객관리 담당 직원이 2010년 1월부터 2011년 8월까지 자사 서버를 해킹해 고객정보 192만건을 조회하고 이 가운데 47만건을 자신의 노트북에 옮긴 사실이 드러났다.
하나SK카드에서는 텔레마케팅 지원 업무를 하던 직원이 2011년 7월 약 9만7천여건의 고객 정보를 빼내 이중 5만1천여 건을 외부로 넘겼다.
하지만 고객정보 유출로 논란을 일으킨 금융사의 임원들은 모두 경징계만 받았다.
상황이 이러다보니 해킹은 물론 내부통제가 미흡해 생긴 개인정보 유출과 관련해 해당 금융사나 담당 임원에 대한 제재수위가 너무 낮은 것이 아니냐는 지적이 나온다.
강력한 제재를 통해 내부통제 시스템을 다잡는 것만으로도 보안사고 방지 효과가 상당할 것으로 예상되기 때문이다.
◇제재 강화·IT보안 종합대책으로 보안사고 줄인다
이 때문에 금융당국은 보안 사고가 발생한 금융사에 대한 제재를 강화할 방침이다.
금감원은 이달부터 전 금융사를 대상으로 IT·보안 실태를 점검하고 있는 것으로 알려졌다.
금감원 관계자는 “문제의 심각성을 고려해 (점검) 강도를 높이고 있다”면서 “검사 결과 문제가 있다고 판단되면 최고경영자 중징계 등 엄하게 문책할 방침”이라고 말했다.
이른바 ‘5·5·7’ 규정을 잘 지키고 있는지도 들여다볼 계획이다.
5·5·7 규정이란 ▲ 금융회사 인력의 5%를 IT 부문 배치 ▲ 이 중 5%는 보안인력으로 확보 ▲ IT 예산 중 7%는 보안예산으로 편성토록 한 것이다.
지난달 3·20 해킹사건 이후 금융위원회도 대응책 마련에 나섰다.
금융위는 이달 안에 ‘전자금융보안 태스크포스(TF)’를 꾸리고 6월까지 IT·보안 종합대책을 만들 계획이다. 이를 위해 지난주 금융당국과 시중은행, 금융결제원 등이 참여하는 실무진 사전회의를 열어 TF 발족에 대해 논의했다.
다만 일각에서 의견이 나온 것처럼 5·5·7 규정을 7·7·10으로 강화할 수 있을지는 미지수다.
5·5·7 룰을 대부분 준수하고 있는 대형 금융사조차 예산과 인력 충원에 부담을 느끼는데다 최근 입법예고된 ‘금융회사의 정보처리 및 전산설비 위탁에 관한 규정’ 통과되면 IT 인력을 늘리는 것이 더 어려워질 수 있기 때문이다.
금융당국의 한 관계자는 “업무를 위탁할 수 있게 하면서 인력을 늘리라고 하면 자칫 두 규정이 상충할 우려도 있다”며 조심스런 입장을 보였다.
연합뉴스
