"IT·보안사고 재발 시 제재 강화 필요"…금융위 내부서도 문제 제기

[서울=뉴시스]우연수 기자 = 금융권의 전산 IT·보안 사고가 잇따르는 가운데 금융위원회 내부에서도 제재 수위 강화 필요성에 대한 문제의식이 제기됐다. 사고 재발 시 제재 단계를 한단계 높이는 방식의 과징금 규정 손질 필요성도 거론됐지만, 우선 국회에 계류된 전자금융거래법 개정안을 지원해 대응을 강화한다는 방침이다.

13일 금융당국에 따르면 금융위원회는 지난해 12월3일 정례회의에서 한 증권사의 개인신용정보 유출 및 전자금융거래 안전성 확보 의무 위반에 대한 과징금 부과 안건을 심의하는 과정에서 IT·보안 사고 제재 체계에 대한 의견을 나눴다.

의사록에 따르면 한 위원은 "회사들 실태를 점검해보면 대부분 보안 의식 등이 굉장히 허술한 상황이다. 그렇다고 강력한 제재를 남발하기도 어렵다 보니 현실적으로 업권의 상황을 감안해 제재를 느슨하게 하는 감이 있는데, 시장에 잘못된 시그널을 줄 수 있다"고 지적했다.

이어 "회사에게 보안 역량을 제고할 수 있는 계도·정비 기간을 어느 정도 부여해주고 그 기간이 지나고서도 똑같은 상황이 발생한다면 아주 강력하게, 제재 수준을 한단계 높여서 가는 식으로 업권을 끌고 갈 필요가 있지 않을까 싶다"고 제시했다.

이에 대해 금융위 위원은 과징금 규정 정비 필요성을 언급하며 제도 개선과의 연계를 검토하겠다는입장을 밝혔다. 금융위는 사전 계도 기간이나 정비 기간을 두는 방안 등을 포함해 보안 의식을 높일 수 있는 과제를 가진 다음 제재 단계에 적용하는 부분도 고려하겠다고 답했다.

최근 금융권에서는 전산 오류와 보안 사고가 잇따르면서 금융회사 IT 관리 체계에 대한 우려의 시선이 커지고 있다. 최근 토스뱅크에서는 환율 고시 시스템 오류로 엔화 환율이 정상가의 절반 수준으로 표시되는 사고가 발생해 약 7분 동안 약 280억원 규모의 환전 거래가 이뤄졌다.

다만 현재까지 금융당국 차원에서 계도기간 부여나 제재 상향 등 후속 논의가 진행되고 있는 상황은 아니다. 우선은 큰 틀에서 IT·보안 사고 제재 체계 전반을 손보기 위해선 법 개정이 필요하기 때문이라는 설명이다.

현재 신용정보법은 개인정보 유출 사고 발생시 관련 사업자의 매출액의 최대 3%까지 과징금을 부과할 수 있도록 하고 있다. 하지만 해킹 등 외부 공격에 따른 정보 유출의 경우 과징금 상한이 50억원으로 제한돼 있다.

이 같은 구조는 지난 2014년 카드 3사의 개인정보 유출 사고 이후 마련된 제도적 틀을 반영한 것이다. 당시에는 내부 직원에 의한 대량 정보 유출이 주요 사고 유형이었지만, 최근에는 해킹을 통한 정보 유출이 주요 원인으로 떠오르면서 제재 체계도 현실에 맞게 손질해야 한다는 지적이 꾸준히 제기돼 왔다.

이와 관련해 유동수 더불어민주당 의원이 지난해 11월 전자금융거래법 개정안을 발의했지만 국회 논의는 지지부진하다.

개정안은 해킹 등에 대해서도 금융회사 매출액의 최대 3%까지 과징금을 부과할 수 있도록 하고, 금융보안원이 실시하는 취약점 분석·평가의 권고사항을 회사가 이행하지 않는 경우 이행강제금을 부과할 수 있는 근거를 마련하는 내용을 담고 있다.

금융당국 관계자는 "법안이 빨리 국회에서 논의돼 통과되면 IT 시스템 오류나 보안 사고 등을 더 치밀하게 방어할 수 있는 체계가 될 것"이라고 말했다.


◎공감언론 뉴시스 [email protected]