금융사 보안 강화 주문한 당국…금융보안원 관리체계 도마

상시평가 시스템서 개인정보 유출…당국 후속 조치 주목

금융위, 전체 시스템 취약점 점검 지시…관리 소홀 확인 땐 책임 물어야

[사진=금융보안원]

금융회사에 해킹 사고 예방과 최고경영자(CEO)의 보안 책임 강화를 주문해 온 금융당국이 금융보안원의 정보유출 사고를 마주했다. 금융회사의 보안 취약점을 점검하는 전문기관에서도 개인정보가 유출되면서 자체 보안관리 체계가 도마에 올랐다. 금융위가 금융보안원의 관리 소홀 여부를 어떻게 확인하고 책임을 물을지 관심이 쏠린다.

11일 금융권에 따르면 금융보안원은 지난 9일 오후 3시께 금융회사 평가를 지원하는 상시평가 시스템에서 외부의 비정상적인 접근에 따른 정보유출을 확인했다.

현재까지 확인된 유출 정보는 개인신용정보 동의서 샘플 등 행정서식 약 200건과 서식에 포함된 이름·생년월일 등 개인정보 300여 건, 시스템 이용자 정보 350여 건이다. 시스템 이용자 정보에는 마스킹된 이름과 휴대전화번호, 이메일 등이 포함됐다.

금융보안원은 금융회사 시스템 구성도 등 보안정보와 주민등록번호, 고객의 민감한 개인신용정보는 현재까지 유출되지 않았다고 설명했다. 사고가 발생한 상시평가 시스템은 금융회사가 평가에 필요한 행정서식 등을 제출하는 곳이며 취약점 분석·평가 결과 등 보안정보는 수집하지 않는다는 설명이다.

이번 사고는 금융당국이 금융권 전반에 대해 보안 점검과 경영진 책임 강화를 추진하는 가운데 발생했다. 금융당국은 잇따른 해킹과 개인정보 유출에 대응해 금융회사들의 보안관리 체계를 점검하고, 보안상 위반 사항이 확인되면 엄정하게 제재하겠다는 방침을 밝혀 왔다.

금융보안원은 금융위 소관 금융보안 전문기관으로 금융회사의 전산시스템 취약점 분석·평가와 침해사고 대응 등을 지원한다. 금융회사에 보안 취약점을 찾아 개선하도록 돕는 기관에서 사고가 발생한 만큼 금융보안원 자체 시스템의 보호조치와 관리체계도 철저히 점검해야 한다는 지적이 나온다.

금융권 관계자는 “금융보안원은 상대적으로 안전할 것이라는 인식이 있었는데 보안을 전문으로 하는 기관에서 사고가 발생했다는 점은 문제가 있다고 본다”고 말했다.

금융위는 금융보안원에 정보유출 경위와 피해 규모를 파악하고 시스템 복구 등 후속 조치를 신속히 진행하도록 지시했다. 사고가 발생한 시스템뿐 아니라 전체 시스템에 대해 보안 취약점을 점검하고 재발 방지 대책을 마련하도록 주문했다. 보안상 허점이 확인되면 이에 상응하는 책임을 묻겠다는 입장이다.

금융보안원은 사고 확인 직후 해당 시스템의 접속을 차단하고 금융위와 한국인터넷진흥원(KISA)에 신고했다. 현재 정확한 사고 원인과 피해 범위, 추가 유출 여부 등을 조사하고 있다. 관련 금융회사와 정보주체에게 유출 사실을 안내하고 정보보호 관리체계 전반을 재점검해 재발 방지 대책을 마련하겠다고 밝혔다.

임종인 고려대 정보보호대학원 교수는 “이번 사건을 반면교사 삼아 보안이 뚫린 원인을 철저히 분석하고 피해 수습과 재발 방지에 만전을 기해야 할 것”이라고 강조했다.