금융회사에 해킹사고가 발생할 경우 고객 피해보상이 의무화될 전망이다. 금융위원회는 23일 이 같은 내용을 골자로 한 금융회사 정보기술(IT) 보안강화 종합대책을 발표했다.

금융위는 해킹사고시 금융회사가 손해배상 책임을 질 수 있도록 전자금융거래법 개정안을 제출했다.

특히 현행법과 감독규정에는 전자적 전송ㆍ처리과정에서 발생한 사고에 대해 금융회사의 손해배상 책임이 명시돼 있지만, 해킹사고에 대해선 책임 여부가 불명확하다는 지적이 있었다. 

해킹시 고객 피해보상이 명문화되면 소비자 보호뿐 아니라 IT보안에 대한 금융회사의 인식 전환에도 기여 할 것으로 보인다.

이에 금융위는 중소형 금융회사의 경우 전자금융 사고에 대비해 가입한 보험과 공제의 보상 한도액을 현재 2억~20억원보다 대폭 상향 조정하는 방안도 검토키로 했다.

또한 금융위는 금융회사가 해킹사고를 감독당국에 보고하는 체계를 강화하고, 해킹 행위에 대한 처벌조항도 신설할 방침이다.

아울러 IT 보안사고가 발생한 금융회사에 대한 제재수준도 대폭 상향된다. 위반 행위자와 경영진, 금융회사 등 대상별 제재기준이 별도로 마련된다.

대형 사고가 발생한 금융회사에 대해선 최대 업무정지까지 가능하도록 법적 근거를 만들겠다는 취지다.

이와 관련, 175만명의 고객정보가 해킹으로 유출된 현대캐피탈 정태영 사장에 대한 징계 수위에 대한 기자들의 질문에 성대규 금융위 은행과장은 "이미 벌어진 사안인 만큼 당시 상황과 법령에 따라 처리하는 게 타당하다"며 “제재기준 개정이 소급 적용되진 않을 것”이라고 답했다.

최근 NH투자증권을 비롯한 증권회사의 홈트레이딩시스템(HTS) 안전성에 문제가 제기된 것과 관련해서는 금융감독원이 증권사별 HTS 안전성 강화 방안을 검토하고 하반기 중 미흡한 부분에 대한 특별검사를 할 방침이다.

한편, 금융위는 할부ㆍ리스업 등 여신전문금융회사와 금융관련협회를 금융감독원의 IT부문 실태평가에 추가키로 했다.

금융회사 최고경영자(CEO)에게 연간 IT보안 계획을 직접 승인ㆍ점검하도록 책임을 부여해 CEO에 대한 제재 근거를 강화하고, 임원 성과평과와도 연계토록 유도할 방침이다.

정보보호최고책임자(CISO) 지정도 의무화된다. 현재 5% 이상 유지토록 권고되지만 준수의무가 없는 IT보안 예산비율을 감독규정에 명시하고, 준수 여부를 경영실태평가에 반영키로 했다.

이 밖에 IT 보안을 위한 내부통제 제도도 개선될 전망이다. 금융회사의 인터넷망과 업무망의 분리를 단계적으로 유도하고, 시스템운영실에선 전용단말기 사용만을 허용하는 등 시스템 접속통제와 계정관리도 강화할 계획이다.

특히 금융회사가 IT업무에 대한 외주계약 때 금융회사가 자체 IT보안 전담조직을 통해 외주업체 보안관리를 철저히 하도록 하고, 외부위탁시에는 IT 개발과 운영에 대해 내ㆍ외부 감리를 하도록 유도할 방침이다.