|
금감원은 금융회사에 우선 전사적 IT 위험 관리체계를 마련하고 경영진 중심으로 정기·수시 점검을 실시하라고 주문했다. 모든 시스템·프로그램·클라우드·오픈소스 등 IT 자산을 빠짐없이 식별·관리하고, 취약점 발견 시 신속하게 패치할 수 있도록 자산별 위험도와 중요도에 따른 패치 우선순위를 마련해야 한다고 강조했다. 침해사고 발생 시에는 서비스 신속 복구와 함께 대체수단 안내, 피해사실 통지·보상 등 소비자 보호 방안도 갖춰야 한다고 했다.
IT 통제도 준수하라고 했다. 최근 주요 IT 사고 상당수가 중요 보안패치 미적용, 퇴직자 계정 방치, 정보 암호화 미흡, 프로그램 변경 테스트 미흡 등 기본적인 통제에서 비롯됐다는 설명이다. 금감원은 지난 7월부터 진행 중인 ‘자율 시정’에 금융회사들이 적극 참여해 자체적으로 미흡 사항을 점검·보완하라고도 했다.
자율 시정 결과에 따른 후속 조치는 차등화하기로 했다. 적극적으로 미흡 사항을 보완한 금융회사에는 경미한 사고 발생 시 제재 감면을 적극 검토하지만, 형식적·소극적인 자율 시정으로 기본통제 미흡이 원인이 돼 대규모 IT·침해사고가 발생할 경우에는 엄중 조치할 방침이다.
이종오 부원장보는 “대표이사를 비롯한 경영진의 진두지휘 아래 조직·인력·예산을 확충해 새로운 기술로 무장한 사이버 위협에 철저히 대비해 달라”며 “미흡한 고위험 금융회사에는 현장점검 등을 실시할 것”이라고 말했다.
