이 누리집은 대한민국 공식 전자정부 누리집입니다.
안녕하십니까.
금융위원회 이억원 위원장입니다.
오늘은,
최근 잇따라 발생하고 있는 금융권 해킹과 정보유출 사고에 대해 엄중한 경각심을 공유하고,
금융권의 보안체계를
근본적으로 혁신하기 위한 방안을 논의하고자
여러분을 모셨습니다.
바쁘신 가운데 참석해 주신 금융권 협회장 여러분과
금감원 수석부원장님, 금융보안원장님께 감사드립니다.
국조실, 과기부, 행안부, 개인정보위,
방미통위, 경찰청 관계자 여러분께도 감사드립니다.
오늘 이 자리는
단순히 최근 사고를 점검하고
대책을 논의하는 자리가 아닙니다.
금융권 전체의 보안에 대한 인식과 대응방식을
근본적으로 바꾸기 위한 자리입니다.
금융의 생명은 신뢰입니다.
그리고 보안은 그 신뢰를 떠받치는 가장 기본적인 토대입니다.
고객의 돈과 정보를 안전하게 지키는 일은
금융회사가 존재하는 가장 기본적인 이유이자,
결코 타협할 수 없는 책무입니다.
최근의 사고를 계기로
우리 금융권이,
이 기본적인 책무를 제대로 수행하고 있는지
냉정하게 돌아봐야 합니다.
금융권 여러분,
금융당국은 그간 수차례 철저한 보안점검과
외부접점 관리를 주문하고
구체적인 체크리스트도 제시해 왔습니다.
그러나,
우리 금융권을 덮친 전방위적 침해사고는
여전히 현재 진행형입니다.
지난 9월 말 이후 현재까지
총 37개사*에서 40건의 침해사고가 신고되었고,
약 47.3만 건의 정보유출이 확인되었습니다.
* [은행] 4개, [금투] 5개, [보험] 3개, [저축은행] 5개
[상호] 1개, [여신] 2개, [온투] 4개, [전금] 10개, [가상자산] 3개
일부 전금업자·가상자산사업자에서는
회사가 관리하는 자금이 실제로 탈취되는
사고도 발생했습니다.
부정결제 우려가 있는 정보유출은
아직 확인되지 않았고,
자금탈취 사고도
주로 회사 보유자금이나 소비성 포인트,
가상자산 핫월렛 자금 등으로
개별 이용자의 직접적인 자금손실은 현실화되지 않았으나,
결코 안심하거나 가볍게 넘길 수는 없습니다.
정보유출은 보이스피싱 등 2차 피해로 이어질 수 있고,
작은 보안 취약점 하나가
금융시스템 전체의 신뢰를 흔들 수 있기 때문입니다.
정부는
선제적인 소비자 피해방지에 방점을 두고
소비자 경보 발령과 이상거래 모니터링을 강화하는 한편,
자금탈취 사고도
각 금융회사가 관련 법령에 따라
소비자 피해 없이 조치하도록
관리·감독에 만전을 기할 것입니다.
여러분,
AI 기술의 급속한 발전과
국경을 넘나드는 디지털 거래의 확장으로
보안환경은 그야말로 숨 가쁘게 변하고 있습니다.
사이버 공격은 갈수록 지능화·고도화되고 있으며,
최근 바이낸스 해킹에서 보듯이
어떠한 국가나 기업도
새로운 위협에서 자유로울 수 없습니다.
고객의 정보와 재산을 지켜내지 못하면
오랜 기간 어렵게 쌓아온 금융의 신뢰도
한순간에 무너질 수 있습니다.
‘국민의 신뢰를 잃으면 금융의 미래도 없다'는
절박한 위기의식과 각오로 대응해야 합니다.
금융위원회는 지난 10월 4일,
최근의 해킹사고를 거울삼아
불필요한 외부접점을 최소화하고
인증절차 누락·우회 등 취약점이 없는지
철저히 점검할 것을 주문한 바 있습니다.
그러나, 그 이후에도 침해사고는 이어졌습니다.
상당수 사고는
여전히 관심이 덜한 주변부 시스템의 ’약한 고리'를 파고들었고,
같은 계열그룹 내에서 사고가 발생했음에도
충분한 대비 없이 추가 사고가 발생한 사례도 있었습니다.
사고가 발생한 뒤에야
허겁지겁 취약점을 찾고,
이미 드러난 위험조차 제대로 관리하지 못해
같은 사고를 반복하는 것은
더 이상 용납될 수 없습니다.
여전히 금융권에
‘아직은 괜찮겠지'하는 안이한 인식이
남아 있는 것은 아닌지 심각하게 우려됩니다.
특히 CEO와 경영진이
보안을 전문가나 IT 부서만의 영역으로 생각하며
필요한 관심과 투자, 관리 책임을
소홀히 하고 있는 것은 아닌지 냉정하게 돌아봐야 합니다.
보안은 특정 부서의 기술적인 문제가 아니라,
최고경영자가 직접 책임져야 할 핵심 경영과제입니다.
보안관리의 부실은
단순한 기술적 실패를 넘어
경영관리의 실패로 이어질 수 있습니다.
보안은 비용을 줄여야 할 대상이 아니라,
고객의 신뢰와 금융회사의 미래를 지키기 위한
필수 투자입니다.
이제 사고가 터진 뒤 수습하는 관행에서 벗어나
위험을 사전에 찾아내고 취약점을 제거하며,
만일의 사고에도 신속하게 대응할 수 있는
전사적·종합적·선제적 보안관리체계를 구축해야 합니다.
정부와 유관기관,
전 금융권은
최근의 침해사고를 엄중한 경고로 받아들이고,
① 보안관리의 허술한 부분을 빈틈없이 바로잡고,
② 소비자 2차 피해를 철저히 방지하며,
③ AI 시대에 걸맞은 새로운 보안체계를 구축하는데
모든 역량을 집중해야 합니다.
여러분,
금융위원회는 전 금융권과 함께
보안체계 혁신을 위한 정책적 노력을
강력하게 추진하겠습니다.
첫째, 보안 취약점에 대한 빈틈없는 점검과 제도개선에
즉시 착수하겠습니다.
전 금융회사·전금업자 및 가상자산사업자까지 포함한
580여 개 금융회사에 대해
전체 IT 자산의 외부접점과 내부통제 시스템을
철저히 전수점검하겠습니다.
금융회사 자체점검에 그치지 않고
세부 점검내용과 판단 근거를 기록하도록 하며,
점검이 부실하거나 중요한 취약점이 발견되면
금감원·보안원의 현장점검도 실시하겠습니다.
불필요한 외부연결은 즉각 차단하고,
꼭 필요한 경우에는 CEO 책임하에
대체통제를 적용하여 엄격하게 관리하도록 하겠습니다.
여기서 분명히 말씀드립니다.
금융회사가 스스로 취약점을 찾아
적극적으로 개선하는 노력은
충분히 고려하고 지원하겠습니다.
그러나, 보안상의 위험을 알고도 방치하거나
기본적인 관리조차 소홀히 하고,
형식적인 점검과 안이한 대응으로 사고를 초래하거나
피해를 키우는 행태는 결코 용납하지 않겠습니다.
중대한 관리 부실이나 대응 소홀에 대해서는
CEO를 포함한 경영진의 책임까지
관련 법령에 따라 엄정하게 묻겠습니다.
특히 이번 전수점검이
형식적인 서류 점검이나,
일회성 조치로 끝나서는 안 됩니다.
향후 사고가 발생할 경우
그간의 점검이 실질적으로 이루어졌는지,
드러난 취약점에 대해 필요한 개선조치를 했는지까지
철저히 따져보겠습니다.
점검했다는 사실보다 중요한 것은
실제로 위험을 제거했느냐는 것입니다.
아울러, 해킹 공격을 조기에 탐지·방어하고
상시적인 보안관리를 강화하기 위한 제도개선도
신속히 추진하겠습니다.
개별 금융회사가 탐지한 침해위협 정보를
실시간으로 전 금융권에 공유하여
침해시도를 조기에 파악하고,
사고 발생 이전에 선제적으로 대응하는 체계를 구축하겠습니다.
전금법 대상이 아닌 가상자산사업자 등도
금감원·금보원과 사고 초기부터
정보공유·상황전파·소비자 보호 등
긴밀하게 공조할 수 있는 절차와 제도를 마련하겠습니다.
대형 금융회사부터 단계적으로
취약점 분석·평가를 연 1회에서 2회 이상 받도록 의무화하고,
모든 외부접점을 점검대상에 포함하는 등
점검제도도 내실화하겠습니다.
보안역량이 상대적으로 미흡한
중소형 금융회사에 대해서는
취약점 상시탐색과 맞춤형 개선방안을 제공하는
‘원스톱 AI 방어서비스', ‘맞춤형 보안 안내서',
‘찾아가는 현장교육' 등 지원도 강화하겠습니다.
금융회사 규모나 업권에 따라
보안의 사각지대가 발생하지 않도록
금융권 전체의 대응 수준을 끌어올리겠습니다.
둘째, 정부와 전 금융권이 합심해 소비자 2차 피해를 막기 위한 든든한 방어체계를 마련하겠습니다.
정보유출이
또 다른 금융범죄와 소비자 피해로 이어지지 않도록
예방부터 피해방지까지
촘촘한 보호체계를 구축하겠습니다.
유출된 소비자 정보가
다크웹·텔레그램 등 음성적 경로를 통해
불법 유통되지 않도록 모니터링을 강화하고,
국내 불법 유통 채널에 대해서는
관계부처와 협력하여
사이트 차단·폐쇄, 범죄자 검거 등 가용한 수단을 동원해
강력히 대응하겠습니다.
정보유출이
보이스피싱 등 2차 피해로 이어지지 않도록
범죄계좌 탐지·차단 체계도 대폭 강화하겠습니다.
지난해 10월 출범한「ASAP*(에이셉)」를 활용해
범죄계좌를 신속하게 탐지·동결하는 체계를 구축하겠습니다
* ASAP : AI-based anti-phishing Sharing & Analysis Platform.
AI 기반 공동모델로 사기범죄 위험도를 분석해
전 금융권에 공유하고,
대포계좌·신종피싱 등 최신 범죄수법도
신속히 탐지·차단할 수 있도록
공동 탐지룰을 개선하겠습니다.
침해사고로 유출된 정보가
또 다른 범죄의 도구로 악용되지 않도록 사전에 차단하고,
피해가 발생하더라도
신속히 확산을 막겠습니다.
보이스피싱 피해자를 두텁게 보호하기 위해
금융회사가 범죄 피해의 일정 부분을 보상하는
무과실책임 법제화도 신속히 추진하겠습니다.
통신매체를 통해
범죄가 이루어지는 점을 고려하여
통신사의 책임성을 강화하는 방안도
정부 차원에서 적극 공론화하겠습니다.
셋째, ‘AI 공격은 AI로 방어하는' AI 기반 新보안체계를 조속히 구축하겠습니다.
현실화된 AI 보안위협에 대응하기 위해
「망분리 규제 전면해제 TF」를 본격 가동하겠습니다.
정부·유관기관·민간전문가·금융권 등이 참여하여
데이터 관리, 제로트러스트 원칙,
보안 거버넌스, 위기 대응체계 등을 종합적으로 논의하고
구체적인 실천방안을 마련하겠습니다.
보안목적의 AI 활용을 위한
망분리 규제 긴급 완화 조치를 상시 제도화하고,
생성형 AI·블록체인 등 새로운 기술에 대한
망분리 규제 완화도
혁신금융서비스 등을 통해 일관되게 추진하겠습니다.
AI 시대의 새로운 공격에
과거의 방식만으로 대응할 수는 없습니다.
획일적인 차단 중심의 보안에서 벗어나,
AI를 활용해 위험을 실시간으로 식별하고 대응하는
지능형 보안체계로 전환해야 합니다.
이제 보안도 수동적인 방어에서 능동적인 대응으로,
사후 수습에서 사전 예방으로
근본적으로 바뀌어야 합니다.
「디지털금융 안전법」도 조속히 추진하겠습니다.
가상자산사업자, 보험GA 등
많은 고객정보를 보유하거나,
침해사고 시 손실발생 우려가 큰 업종에 대해서는
현행「전자금융거래법」에 준하는 보안규율을
적용해 나가겠습니다.
클라우드 사업자, 플랫폼 등
다수 금융회사와 연결되고 다량의 정보를 처리하는
제3자에 대한 보안규율 체계도 검토하겠습니다.
고객의 정보와 재산을 지키지 못하는 금융회사는
이미 그 존재가치를 잃은 것이라고 생각합니다.
하루가 다르게 진화하는 보안위협에 맞서
금융의 생명과도 같은 국민의 정보와 재산을 지켜내는데
그 어떠한 인적·물적 투자도 아껴서는 안 됩니다.
全 금융권 CEO분들은
절체절명의 위기상황임을 명확히 인식하고
전사적인 비상대응반을 즉시 구성해 주시고,
정부에서 준비한 전수점검 계획과
제도개선 과제에 맞추어
긴밀한 상황대응과 튼튼한 보안체계 마련에
총력을 다해 주시길 바랍니다.
全 금융권 협회장님들도
각 금융사에서 구성한 비상대응반과 긴밀히 소통하는
별도의 상황관리반을 구성해 주시고,
각 업권 특수한 보안 위험이나
공통된 현장 애로사항을 신속히 금융당국과 공유하고
새로운 보안체계 마련을 위한 제도개선 추진에도
적극적으로 협조해 주시길 부탁드립니다.
여러분,
최근 금융권에서 잇따라 발생한 침해사고는
우리 금융시스템의 보안체계 전반을
근본적으로 전환해야 한다는 엄중한 경고입니다.
작은 보안 취약점 하나가
금융회사 전체는 물론,
금융시스템의 신뢰를 훼손할 수 있는 상황입니다.
기존의 보안관리 방식과 관행에서 벗어나
보안체계를 전면적으로 쇄신해야 할 때입니다.
全 금융권 CEO와 관계자분들은
국민 여러분이 맡겨주신 정보와 재산을
목숨 걸고 지켜낸다는 각오로
우리 금융권의 신뢰를 회복해야 합니다.
이제는 말이 아니라 행동으로 보여주어야 합니다.
보안과 소비자 보호를 최우선 경영과제로 삼아
철저한 점검과 실질적인 개선조치에
적극적으로 나서주시기 바랍니다.
감사합니다.