업계 자율성·책임 강화… IT실태평가 세분화로 위험 사전예방
■ 2014 스마트금융 콘퍼런스
금융감독원이 금융회사들의 IT부문에 대한 자율성을 강화하는 대신 불시 현장점검을 대폭 강화한다. 또 금융 보안강화를 위해 IT실태평가 제도도 개선해 보안부문을 집중 점검할 방침이다.
김유미 금융감독원 IT·금융정보보호단 선임국장은 17일 디지털타임스 주최로 서울 명동 은행회관에서 열린 '2014 스마트금융 콘퍼런스'에서 "IT 관련 감독규정에 금융회사들이 준수해야 할 원칙을 규정하고 구체적인 방안은 협회의 보안 지침으로 정하도록 해서 금융회사의 자율성과 책임을 강화하는 방향으로 가고자 한다"고 말했다.
금감원은 금융업계 자체적으로 보안 지침을 만들고 자체점검을 강화하도록 독려할 방침이다. 대신 불시 현장점검과 예방점검이 대폭 강화된다. 김 선임국장은 "금융회사에서 내부 규정이나 관련 절차는 대체로 갖춰져 있으나 실제로 이런 부분이 현장에서 제대로 이행이 되지 않아 사고가 발생하는 경우가 대부분이었다"며 "불시 현장점검을 확대해 보안대책이 현장에서 정착되도록 유도할 예정이다"라고 말했다. 앞서 금감원은 지난 5월, 6월 USB통제와 프로그램 개발 시 실제 데이터 제공여부에 대한 실태를 불시 점검했다. 금감원은 앞으로 세부 주제별로 이같은 불시 현장점검을 시행할 예정이다.
김 선임국장은 또 "적발 위주 검사에서 금융 현장의 위험요인을 가능한 조기 포착해 신속히 대응하는 기동검사 체계를 구축할 것"이라며 "신분상 제재보다는 최대한으로 취약점 개선유도에 중점을 두겠다"고 설명했다. 이에 따라 금감원은 금융회사가 IT 부문에 자율처리가 가능한 위규 직원을 조치의뢰 처분하고 경미한 사항을 현지 조치처리가 될 수 있도록 할 방침이다.
IT실태평가 제도도 대폭 개선한다. 김 선임국장은 "보안평가 항목들이 분산돼 복합적인 보안 수준을 판단하기에 곤란하다고 생각해 IT실태평가에 보안 부문을 신설하고 등급체계를 세문화했다"고 말했다.
IT실태평가는 IT감사, IT경영, 시스템 개발, 도입 및 유지보수, IT서비스제공 및 지원 등의 항목으로 나눠져 있다. IT보안은 각 항목별로 흩어져 있었는데 이를 빼서 집중 평가를 하겠다는 것이다. 이는 올해 초 발생한 1억건 카드사 정보유출과 각종 사건, 사고에 따른 조치로 해석된다. 여기에 금감원은 공인인증서 사용의무가 폐지된 것을 감안해 대체인증수단을 사용하는 카드사에 대해 IT실태평가 시 인센티브를 부여하는 방안도 검토하기로 했다.
강진규·박소영기자 kjk@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
