최근 금융권을 중심으로 해킹과 개인정보 유출 사고가 잇따르면서 금융사 보안 전수점검이 큰 관심을 받고 있습니다. 금융당국은 580여 개 금융회사와 전자금융업체, 가상자산사업자를 대상으로 외부 접속 경로와 보안 내부통제 체계를 전수 점검하겠다고 밝혔습니다. 일정과 대상을 미리 알아두면 소비자로서도 내 정보가 어떻게 보호되고 있는지 파악하는 데 도움이 됩니다.
| 구분 | 내용 |
|---|---|
| 점검 대상 | 금융회사, 전자금융업체, 가상자산사업자 등 580여 곳 |
| 점검 범위 | 홈페이지, 직원 관리, 내부 업무, 제휴 업무, 개발·테스트 시스템, API 등 모든 외부 접점 |
| 1단계 일정 | 등록 시스템의 외부 접속 경로 점검을 11월 30일까지 완료 |
| 2단계 일정 | 미등록 시스템과 내부통제 체계 점검을 12월 31일까지 완료 |
| 최근 사고 현황 | 37개사에서 40건, 정보유출 약 47만 3천 건, 자금 탈취 약 10억 원 |
목차
금융사 보안 전수점검, 왜 이렇게 중요해졌나
이번 금융사 보안 전수점검은 최근 발생한 침해사고와 직접 맞닿아 있습니다. 지난 9월 30일부터 11월 3일까지 금융권 37개사에서 모두 40건의 침해사고가 신고됐고, 약 47만 3천 건의 정보가 유출됐습니다. 일부 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서는 회사가 관리하는 자금 약 10억 원이 탈취된 사실도 확인됐습니다. 고객 성명과 주민등록번호, 계좌번호가 포함된 정보가 빠져나갔지만 다행히 계좌 비밀번호 유출이나 개별 고객의 직접적인 자금 손실은 아직 확인되지 않았습니다.
금융당국은 상당수 사고가 관심이 덜한 주변부 시스템을 노린 공격에서 시작됐다고 판단했습니다. 같은 계열사에서 사고가 났는데도 충분한 대비를 갖추지 못해 추가 사고로 이어진 사례도 있었습니다. 이에 따라 단순히 취약점을 찾는 수준을 넘어 경영진의 보안 책임까지 점검하는 방식으로 전환된 것입니다. 금융위원회 간담회에서는 보안이 특정 부서만의 일이 아니라 최고경영자가 직접 챙겨야 할 핵심 과제라는 점이 강조됐습니다. 중대한 관리 부실이나 대응 소홀이 확인되면 최고경영자를 포함한 경영진에게도 책임을 묻겠다는 입장이 전해졌습니다.
점검 대상과 범위, 어디까지 포함되나
이번 금융사 보안 전수점검 대상은 은행과 보험, 증권사에만 국한되지 않습니다. 전자금융업체와 가상자산사업자도 포함되어 모두 580여 곳에 이릅니다. 점검 범위도 홈페이지 같은 고객용 서비스뿐 아니라 외부에서 접근할 수 있는 직원 관리 시스템, 내부 업무 시스템, 제휴 업무용 시스템, 개발과 시험용 시스템까지 넓게 잡혔습니다. 관리대장에 등록되지 않은 시스템과 최고경영자, 정보보호최고책임자, 최고정보책임자의 역할과 책임도 함께 확인합니다.
특히 회사가 자체 점검을 진행할 때 점검 대상과 판단 근거를 상세히 기록하도록 한 점이 눈에 띕니다. 기존에는 금융회사가 제공된 체크리스트에 따라 스스로 적정 여부를 판단해 회신하는 방식이었는데, 이번에는 점검 결과가 적정이라도 점검 방식과 근거를 구체적으로 남겨야 합니다. 점검이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 직접 현장점검에 나서게 됩니다.
금융사 보안 전수점검의 전체적인 흐름과 세부 내용은 KBS 보도 내용에서도 확인하실 수 있습니다. 다만 기사에 나온 세부 일정은 변경될 수 있으니 공식 발표를 함께 참고하는 것이 좋습니다.
서비스 중단과 재개 기준도 달라진다
점검 과정에서 금전 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스는 즉시 중단되어야 합니다. 외부 접근을 차단한 뒤 보완 작업을 진행하고, 서비스 유지가 꼭 필요하다면 대체 보안 조치를 갖춘 상태에서 최고경영자의 승인을 받아 재개할 수 있습니다. 이는 형식적인 점검을 막고 실제 사고로 번지기 전에 위험을 차단하겠다는 의미로 풀이됩니다.
앞으로 달라지는 보안 점검 체계
일회성 점검에 그치지 않도록 상시 보안 점검 의무도 강화됩니다. 현재 연 1회 이상인 취약점 분석과 평가 주기가 대형 금융회사부터 연 2회 이상으로 늘어납니다. 총자산 2조 원 이상이면서 직원 300명 이상인 금융회사에 먼저 적용되고, 2028년부터는 중소형사를 포함한 전 금융권으로 확대될 예정입니다.
침해사고 위협 정보를 공유하는 방식도 바뀝니다. 지금까지는 금융감독원과 금융보안원이 파악한 위협 정보만 공유했지만, 앞으로는 대형 금융회사가 자체적으로 발견한 공격 방식과 공격자의 인터넷주소, 악용된 취약점, 악성코드 정보도 금융감독원의 통합관제시스템을 통해 전체 금융권에 전파됩니다. 이 시스템은 12월 시범운영을 거쳐 내년 1분기부터 본격 활용될 계획입니다.
가상자산거래소 등 전자금융거래법 적용을 받지 않는 업권의 사고 신고 체계도 정비됩니다. 현재는 정보통신망법에 따라 한국인터넷진흥원에 신고하고 있지만, 앞으로는 금융감독원과 금융보안원에도 즉시 신고하도록 이달 중 가이드라인이 마련됩니다. 또 AI 시대에 맞춰 망분리 규제를 전면 재검토하는 태스크포스가 가동되고, 가상자산사업자와 보험대리점 등에도 전자금융거래법 수준의 보안 규제를 적용하는 디지털금융 안전법이 내년 1분기 중 법안으로 마련될 예정입니다. 관련 소식은 연합인포맥스 기사에서 이어서 확인하실 수 있습니다.
소비자가 알아두면 좋은 보호 대책
이번 금융사 보안 전수점검은 금융회사 내부 관리뿐 아니라 소비자 보호 대책도 함께 담고 있습니다. 금융보안원은 다크웹과 텔레그램 등에서 탈취된 개인정보가 불법 유통되는지 상시 감시합니다. 금융권 공동 보이스피싱 정보공유 플랫폼에는 인공지능 기반 의심거래 판단지수가 이달부터 시범 도입되어, 의심 거래의 보이스피싱 연루 가능성을 0점에서 100점 사이로 평가해 금융회사가 신속하게 지급정지 조치를 할 수 있도록 지원합니다.
보이스피싱 피해를 두텁게 보호하기 위해 금융회사의 고의나 과실이 없더라도 피해금 일정 부분을 배상하도록 하는 무과실책임 법제화도 추진됩니다. 통신사의 책임을 강화하는 방안도 정부 차원에서 검토되고 있습니다. 유출된 정보가 보이스피싱 등 2차 피해로 이어지지 않도록 범죄 계좌 탐지와 차단 체계를 강화하고, 피해가 발생하더라도 확산을 빠르게 막겠다는 뜻입니다.
앞으로의 금융 보안, AI 방어 체계가 핵심입니다
지금까지 금융사 보안 전수점검의 배경과 대상, 일정, 그리고 앞으로 달라지는 보안 체계를 살펴봤습니다. 기존에는 외부 업무망과 내부 인터넷망을 분리하는 방식이 중심이었다면, 앞으로는 이를 넘어 AI로 공격을 탐지하고 차단하는 새로운 보안 체계로 전환됩니다. 데이터 중요도에 따른 보호 체계와 모든 접근을 지속적으로 확인하는 제로트러스트 같은 대체 보안 수단도 논의됩니다.
고객의 정보와 재산을 지키지 못하는 금융회사는 존재 가치를 잃는다는 말이 나올 만큼, 이번 전수점검은 단순한 행정 조치 이상의 의미를 갖습니다. 금융회사가 보안을 최우선 경영 과제로 삼고, 소비자도 내 정보가 어떻게 관리되는지 관심을 기울이는 계기가 되길 바랍니다.
자주 묻는 질문
Q: 금융사 보안 전수점검은 언제까지 진행되나요?
A: 등록된 시스템의 외부 접속 경로 점검은 11월 30일까지, 미등록 시스템과 내부통제 체계 점검은 12월 31일까지 진행됩니다. 이후에도 대형 금융회사를 중심으로 정기 평가가 확대될 예정입니다.
Q: 가상자산거래소도 점검 대상에 포함되나요?
A: 네, 이번 금융사 보안 전수점검에는 가상자산사업자도 포함됩니다. 기존에 전자금융거래법 적용을 받지 않던 업권도 사고 신고와 보안 규율을 강화하는 방향으로 정비됩니다.
Q: 개인정보가 유출된 소비자는 어떻게 대응해야 하나요?
A: 금융당국이 다크웹과 텔레그램을 상시 감시하고, 보이스피싱 의심 거래를 판단하는 시스템을 도입합니다. 평소에도 금융회사 공지와 거래 내역을 수시로 확인하고, 의심스러운 연락이 오면 즉시 해당 금융회사와 경찰에 신고하는 것이 좋습니다.
