[뉴스핌=김연순 기자] 날로 지능화되는 보안위협과 금융전산 사고를 예방하기 위해 금융권이 공동으로 백업전용센터(제3백업센터)를 구축한다. 또 금융전산 망분리(업무망↔인터넷망)가 의무화되고 정보보호최고책임자(CISO)의 역할 및 독립성이 강화된다. 동시에 카드사에서 운영중인 이상거래탐지시스템(FDS)을 전자금융거래를 취급하는 은행·증권 등으로 확대 구축된다.
금융위원회는 11일 지난 3월 20일 농협·신한은행 등 금융전산 사고를 계기로 금융권 전산보안 전반에 대한 실태점검과 TF 운영을 통해 이 같은 내용을 골자로 하는 종합적인 개선대책을 마련했다고 밝혔다.
금융위원회 이병래 금융서비스국장은 이날 브리핑에서 "최근 사이버공격은 여러 금융회사에 동시 다발적·반복적으로 발생하고 있어, 날로 대형화·지능화되는 보안위협에 대응하기 위해 금융보안에 대한 패러다임 전환이 필요한 시점"이라며 "이번 종합대책은 금융회사가 자율적인 노력을 통해 전산 사고를 방지할 수 있도록 제도적·기술적 보안관리 체계 강화에 중점을 뒀다"고 밝혔다.
이번 종합대책에 따르면 금융권은 기존 재해복구센터(제2백업센터) 외에 사이버공격, 지진, 테러 등에 대비해 중요 금융정보를 저장·보관하는 금융권 공동 백업전용센터를 지하 벙커 형태로 구축키로 했다.
은행권 공동 태스크포스(TF)를 구성하고 은행권에서 우선 추진한 후 타 업권으로 확대한다는 방침이다. 전산시스템을 파괴(삭제)하는 사이버공격과 지진·테러 등에 의한 전산센터 파괴시 중요 금융정보가 영구 손실될 우려를 대비하기 위해서다.
또 침해사고분석 전담조직을 금융ISAC내에 설치하고, APT공격 등에 대응한 훈련 시나리오 보완, 단말기 긴급 복구체계를 마련키로 했다. 또한 금융위의 컨트롤타워 역할을 강화하기 위해 금융위 주관하에 금융권 전산 보안 관련기관이 참여하는 '금융전산 보안 협의회'를 설치하기로 했다.
아울러 전산센터는 내년 말까지 물리적 망분리를 의무화하고 본점·영업점은 단계적으로 망분리를 추진키로 했다. 금융회사들은 총자산, 임직원 수 등 규모별로 단계적으로 추진하되 망분리 방식은 선택 가능하다.
금융전산시설 내부통제도 강화된다.IT보안 조직의 내부통제 실행력 강화를 위해 정보보안 규정 위반시 제재 근거를 금융회사 내규에 마련하고 시행하도록 했다. 전산시스템 운영자들이 홈페이지 등 공개용 서버 뿐만 아니라 모든 전산시스템 접근시 추가 인증(IC카드, 지문인식, OTP 등)을 의무화하고, 전산시스템 접근기록 상시 모니터링 및 분석을 통해 IT보안 리스크 통제조치를 시행하도록 했다.
정보보호최고책임자(CISO)의 역할과 독립성도 강화된다. CIO가 CISO를 겸직함에 따라 업무상 경계가 모호하고, 이해상충시 보안보다 효율성이 우선돼 보안 약화 우려에 따른 것이다.
이에 따라 일정규모 이상 금융회사는 CISO 전임제도(겸직금지)를 도입해야 하고, CISO는 전임자의 경우 부당한 인사상의 불이익을 금지하고, 책임에 따른 문책부담 해소를 위해 최소한의 임기를 보장해야 한다.
이와 함께 금융위는 이상금융거래 탐지시스템 구축도 확대키로 했다. 이에 카드사에서 운영중인 이상거래탐지시스템(FDS)을 전자금융거래를 취급하는 은행·증권 등으로 확대 구축하고, 자체 탐지한 이상금융거래 정보를 전 금융권과 공유하는 체계를 구축한다.
업무정지 제재기준도 마련돼 금융회사들이 안전조치 의무를 위반시 최대 6개월 업무정지 부과를 위한 세부기준을 마련하고, 중대 전산사고 빈발 금융회사는 집중 점검·관리한다. 금융지주사, IT자회사, 금융자회사간 전산관리에 대한 역할과책임을 계약상 명확히 하고, 금융자회사 검사시 금융지주사와 IT자회사도 연계검사를 실시키로 했다. 또 CEO의 정보기술부문계획 확인·서명을 통해 전산사고 발생에 대한 CEO의 책임을 명확히 했다.
CISO 전임제 및 인사상 불이익 금지, 금융ISAC 연계 의무화 등 전자금융거래법 개정 사항은 내년에 추진하고, 전산센터 망분리 등 감독규정은 올해 말까지 개정을 추진키로 했다. 또 올해 하반기 중 IT보안업무 관련 가이드라인을 마련하는 한편 내년 이후에는 제3센터 구축, 본점·영업점 망분리를 추진한다는 방침이다.
[뉴스핌 Newspim] 김연순 기자 (y2kid@newspim.com)
