금융권 연쇄 해킹에 CEO 보안책임 강화 추진…국회 입법 논의 주목

[서울=뉴시스]김민수 기자 = 금융권에서 해킹 사고가 잇따르면서 최고경영자(CEO)의 정보보안 책임을 강화하고 제재의 실효성을 높이기 위한 입법 논의에 관심이 쏠리고 있다.

금융당국이 관련 제도 개선을 추진하겠다고 밝힌 가운데 국회에서도 법안 추진의 명분이 마련됐다는 반응이 나온다. 이르면 11월 법안심사소위원회에서 관련 논의가 시작될 가능성도 거론된다.

16일 금융권과 국회에 따르면 금융위원회는 지난 14일 '제2차 긴급 상황대응 회의'를 열고 금융권 침해사고 재발 방지를 위한 보안관리체계 강화 방안을 발표했다.

최근 은행과 저축은행, 여신전문금융회사, 전자금융업자 등 16개 금융회사에서 침해사고가 확인되고 개인정보 약 10만건이 유출된 데 따른 조치다. 금융당국이 555개 금융회사로부터 보안 체크리스트 점검 결과를 제출받은 결과, 130개사가 일부 미흡사항이 있다고 보고하기도 했다.

금융위는 금융회사 보안체계 전수점검과 해킹위협 관제시스템 고도화 등을 추진하는 한편, CEO와 정보보호최고책임자(CISO), 최고정보책임자(CIO) 간 보고체계 및 책임 범위를 명확히 하기로 했다. 특히 CEO와 이사회의 보안관리 책임을 강화하고 제재의 실효성을 높이기 위한 제도 개선에도 나설 방침이다.

이런 가운데 국회에 계류 중인 전자금융거래법 개정안이 주목받고 있다. 유동수 더불어민주당 의원은 지난해 11월 금융회사 CEO의 정보보안 책임을 명문화하고 CISO의 독립성을 강화하는 내용의 개정안을 대표발의했다.

개정안은 CEO를 전자금융거래의 안전성 확보와 이용자 보호에 관한 최종 책임자로 명시하는 것이 핵심이다. CISO 임기를 2년 이상으로 하고 임면에는 이사회 의결을, 해임에는 이사 총수 3분의 2 이상 찬성을 거치도록 했다.

제재 수준도 대폭 강화하는 내용이 포함됐다. 현행법은 전자금융거래정보를 타인에게 제공·누설하거나 목적 외로 사용한 경우에만 최대 50억원의 과징금을 부과할 수 있다.

개정안은 해킹 등 침해사고로 정보가 유출된 경우까지 부과 사유를 넓히고, 상한을 전체 매출액의 3%로 높였다. 다만 모든 해킹 사고에 일률적으로 부과되는 것은 아니며, 금융회사가 안전성 확보 의무를 위반한 경우가 전제다.

해당 개정안은 지난해 12월 국회 정무위원회에 회부됐으며, 올해 3월 31일 전체회의에 상정된 뒤 법안심사소위원회로 넘어갔다.

다만 입법 과정에서 검토해야 할 쟁점도 남아 있다. 지난 3월 정무위 수석전문위원 검토보고서는 과징금 산정 기준을 금융회사의 전체 매출액으로 할지, 위반행위와 관련된 매출액으로 한정할지 추가 검토가 필요하다고 지적했다.

개인신용정보 유출을 규율하는 신용정보법과의 관계를 정리할 필요가 있다는 의견도 제시됐다. 이사회가 없는 일부 전자금융업자에 대한 CISO 임면 절차 역시 보완 과제로 꼽혔다.

국회에서는 금융당국이 CEO 보안책임 강화 방침을 공식화한 만큼 관련 법안의 입법 논의를 추진할 명분이 생겼다는 반응이 나온다. 다만 당장 처리에 속도를 내기보다는 법안소위에서 세부 쟁점을 놓고 논의가 이어질 것이란 관측이다.

정무위 여당 관계자는 "당장 해당 법안을 빨리 통과시키자는 분위기는 아니다"라면서도 "보안 책임 강화의 필요성에는 누구라도 공감하지 않을까 싶다"고 말했다.

이어 "정부에서도 주요 추진 법안이 있으면 법안소위에 전달을 해준다"며 "법안소위에서 논의할 때가 되면 관련 내용을 검토하게 될 것"이라고 덧붙였다.

정무위 야당 관계자는 "정부 방침이 그렇고 관련 법안이 나와 있다면 추진할 수 있는 명분은 있다"며 "11월에 안건으로 올릴 수도 있고, 논의가 시작되면 우려되는 부분에 대해 여러 차례 심사가 이어질 것"이라고 밝혔다.


◎공감언론 뉴시스 [email protected]