국민이 OK할 때까지	국회의원 강기정	정무위원회 2013.10.17(목)
국회 의원회관 921호 / kanggijung.com / Tel. 02)788-2666, Fax. 0102

3.20 금융해킹 사고 검사 결과는 아직도 ‘처리 중’

강기정 의원, 금융당국의 늑장, 부실대응 비판

- 해당 사고 기관 외에는 제대로 된 현장점검조차 이루어지지 않아

보안실태 점검이 아닌 금융당국의 가이드 기준 준수 여부만 점검

7월 ‘금융전산 보안 강화 종합대책’의 부실 가능성도

□ 3~4월의 사고기관에 대한 사고검사 결과는 아직 내부 논의 중

올 봄 신한은행과 농협, 제주은행 등 주요 금융기관의 전산망이 마비되었던 3.20 금융사고에 대한 검사결과 처리가 아직도 진행 중인 것으로 알려져 금융당국의 늑장대응이 문제가 되고 있다.

민주당 강기정 의원(광주 북구 갑)이 금융감독원으로부터 제출받은 자료에 따르면, 3월 20일 사고 직후인 3월 27일부터 4월 23일까지 해당 사고 금융기관 7곳에 대한 사고검사가 진행된 후 아직도 내부 실무 협의 중 상태인 것으로 나타났다.

금융기관에 대한 검사 처리는 ① 금융감독원에서 해당 금융기관에 대한 검사 실시 ② 검사 담당 부서에서 검사 결과를 토대로 검사서 및 징계 조치안을 작성 ③ 검사 담당 부서와 제재심의 부서와의 협의 ④ 협의안을 확정해서 제재심의위원회에 부의 ⑤ 제재 수준이 중할 경우 금융위원회 회의에 부의의 과정을 거치게 된다. 그런데 제출 자료에 따르면 3~4월에 진행한 검사가 6개월이 넘게 지난 지금까지도 3단계인 검사 담당 부서와 제재심의 부서와의 협의 단계에 머물러 있는 것이다.

□ 연이은 금융전산보안 사고에도 최종 처리는 내년으로

제출 자료를 좀 더 자세히 보면, ▲ 3~4월 중에 사고기관 7곳에 대하여 사고검사를 실시하였으며, ▲ 5~6월 중에 관련자 등에 대해 질의서를 보내 답변을 받고 검사 결과를 취합하였으며, ▲ 7월에 관련 법규 검토를 거쳐 부서 자체 심의를 하였고, ▲ 8월부터 제재심의 부서와 실무 협의에 들어간 것으로 되어 있다. 현재 실무 협의가 다 끝난 상태라 가정하더라도 앞으로 제재심의위원회의 회의를 거쳐 금융위원회 회의로 부의하는 과정을 거쳐야 하는데, 현재 국정감사 중이고 동양그룹 사태가 이슈로 떠오른 것을 감안하면 최종 처리는 올해 안에는 쉽지 않을 것으로 전망된다.

문제는 올해 금융사고가 처음이 아니었다는 데 있다. 이미 2011년 4월에 농협 전산망이 악성코드에 감염되어 이틀간 거래를 중단시켰던 사고가 있었고, 한달 전인 2011년 3월에는 국민은행은 물론 청와대와 네이버, 국가정보원까지 디도스(DDos) 공격으로 전산망이 마비되었던 적이 있었다. 당시에도 금융당국에서는 금융회사 IT 보안강화 종합대책을 내놓았었는데, 이런 전례를 겪었음에도 또 다시 발생한 올 3월 전산사고에 대해 이렇게 늑장처리를 하고 있는 것이다.

3~4월에 진행한 검사가 아직도 내부 ‘논의 중’상태이다 보니, 이후 5월과 6월에 걸쳐 8개 IT 보안 취약기관을 대상으로 실시한 테마검사 역시 아직도 ‘논의 중’인 것은 물론이다.

□ 각 기관에 대한 점검 및 현장검사도 제대로 이루어지지 않아

사고 이후 금융당국의 조사방법 역시 문제가 되고 있다. 금융감독원에서는 3월과 4월에 사고기관 7곳에 대한 현장점검을 실시한 것과는 별도로, 4월 5일부터 7일까지 은행/증권/보험/카드/저축은행 등을 망라한 296개사에 대하여 점검을 실시했다.

문제는 이 점검이 각 기관의 보안실태를 점검한 것이 아니라 금융감독원에서 제시하고 있는 ‘IT 보호업무 모범규준’ 이행실태를 점검했다는 것이다. 이 IT 보호업무 모범규준은 사고 이전인 2012년 10월에 금융감독원에서 마련한 것으로 인력과 예산에서 필요최소조건을 지키는 내용을 주 내용으로 하는 것이다.

그나마도 대다수의 기관은 서면점검에 그쳤다. 총 296개사 중 은행 17곳을 포함한 45곳만 현장점검을 실시하였고, 나머지 251개사는 모두 서면으로 점검을 대신했다. 서면으로 점검했다는 것은 각 기관의 현 실태를 그대로 보고 점검한 것이 아니라 정해진 양식에 맞추어 ‘필요한 조건을 충족하고 있는지’검사했다는 것이다. 결국 3.20 금융사고에 따른 후속대책으로써 각 기관 점검을 한 것이 아니라, 으레 하던 전산보안 관련 점검을 다소 확대해서 실시한 것뿐이라는 것이 강기정 의원의 판단이다.

<금융회사 정보기술부문 보호업무 모범규준> 의 주 내용

▶ 인력 : 총 임직원수의 100분의 5 이상을 정보기술부문 인력으로, 정보기술부문 인력의 100분의 5 이상을 정보보호인력으로 확보하도록 노력.

▶ 조직 : 정보처리시스템 및 전자금융업무 관련 전담조직 확보 등 조직과 인력 갖춤

▶ 예산 : 정보기술부문 예산의 100분의 7 이상을 정보보호 예산으로 확보

▶ 평가 : 매년 정기평가 실시, 사업 적용 이전 취약점 분석․평가 실시

▶ 계획 : 정보기술부문계획 수립/운용, 임원성과에 반영, 비상대책 수립 등

▶ 기타 : 전산실 및 단말기에 대한 기본 보호대책(사전등록자만 출입, 비밀번호 및 화면보호기능 지정, 로그기록 작성 등), 침해행위 방지 대책(백업, 해킹방지대책 수립 등)

금융감독원에서는 위 검사를 토대로 다소 취약하다고 판단 된 은행 2곳 포함 8개 기관에 대하여 5월 27일부터 6월 10일까지 테마검사를 실시했다. 이것이 현재까지 3.20 금융보안사고 이후에 금융당국이 각 기관의 IT 보안 실태를 점검한 것의 전부이다. (종합감사 제외)

대응 기간	대응 내용 및 현재 상황	대상 기관
3.27 ~ 4.23	현장점검(원인파악, 적정성 파악 등) 검사결과 처리절차 진행 중	사고기관 7개사 (농협중앙회, 농협은행, 농협손보, 농협생보, 신한은행, 신한지주, 제주은행)
4.5 ~ 4.7	IT 보호업무 모범규준 이행실태 점검 각 기관에 유의사항 통보	은행/증권/보험/카드/저축은행 등 296개사 ; 현장점검 45개사
5.27 ~ 6.10	IT 보안시스템에 대한 테마검사 실시 검사결과 처리절차 진행 중	은행2 포함 취약기관 8개사

강기정 의원은 “모든 문제해결의 시작은 정확한 현 실태 파악과 점검에서부터 시작한다”고 전제한 뒤, “2011년에 이어 또 다시 큰 금융전산사고를 겪은 뒤에도 제대로 된 점검조차 하지 않았다는 것은, 사고 후 7월에 금융위원회에서 내놓은 금융전산보안 종합대책도 각 금융기관에 대한 실태 파악조차 제대로 되지 않은 채 준비된 것에 다름 아니다”라고 말했다.

또한 “최근의 메모리 해킹 등의 사례에서 보듯이 금융전산보안은 굉장히 빠른 변화와 발전이 필요한 분야인데, 6개월이 넘도록 기본적인 검사 결과 확정도 미루고 있는 금융당국의 늑장대응은 큰 문제”라고 질타했다.