		2014 정무위원회 국정감사 국회의원 김상민
	일 시	2014. 10. 15. (수)
	담당자	송현화 비서관
	문 의	02-784-2060 / (FAX) 02-788-0130
금융위원회 국정감사 보도자료
금융보안원 설립 졸속 추진 ▲ 눈 가리고 아웅 식의 졸속 조직 개편 ▲ 통합 금융ISAC에 대한 전문 연구용역 없이 관계기관 논의에 따라 추진 ▲ 인사기준無ㆍ방만 운영되던 금융보안연구원에 금융ISAC기능 통합ㆍ확대 개편해 보안 전담 맡겨도 될까

1		현황

1. 금융위원회의 ‘금융보안원’ 설립 추진 배경

가. 현황

□ 금융분야 대형 전산사고*가 지속 발생하고 있고, 이로 인한 금융시스템의 마비는 국민생활과 국가시스템의 안전성 위협

*‘09년 국방부‧외환 등, ’11년 농협‧현대캐피탈, ‘13년 농협‧신한‧KBS‧MBC, ‘14년 카드사 정보유출

□ 금융보안연구원(금보원), 금융결제원(금결원) 및 코스콤 ISAC*이 금융보안 담당

*ISAC(정보공유분석센터): 해킹이나 컴퓨터 바이러스 등 사이버테러와 정보 침해에 대해 효과적으로 공동 대응하기 위한 서비스체계

*금융결제원은 증권사를, 코스콤은 은행권의 금융보안을 담당하고 있음.

※ 고유업무: (금융결제원) 지급결제 공동망 운영, (코스콤) 증권원장 관리 등

나. 현행 금융보안체계의 문제점 및 전담기구 설립 필요성

□ 금결원과 코스콤 ISAC간 정보공유가 되지 않아 침해대응 곤란

ㅇ 양기관은 유해IP정보만 공유를 하고 있으며, 악성코드 등 기타 주요침해에 대해서는 정보공유가 되지 않음

* (감사원 지적) ’09, ’11, ’13년 금융분야 대형 전산사고 발생에 대한 탐지‧정보공유‧침해대응에 있어서 금융 ISAC의 대응이 미흡

□ ISAC 분리로 ISAC 차원의 전업권적인 침해탐지 곤란

ㅇ 침해가 전업권에 동시에 발생하고 있어, ISAC이 전업권 침해를 동시에 탐지하는 것이 중요하나 이런 기능이 제한

* ① 미국, 유럽연합 등은 금융통합 ISAC을 운영중

② 일본은 4개협의체(은행, 보험, 증권 등)가 정보공유를 해 왔으나 정보공유 문제, 전업권적인 침해탐지 곤란으로 ‘14.8월 통합ISAC 설립

□ 금보원과 ISAC간 기능이 중복이 되고 정보교류도 제한

ㅇ 금보원의 OTP 업무를 제외한 모든 업무가 ISAC과 중복

ㅇ 금보원의 강점인 정책연구, ISAC의 강점인 보안관제 등에 대한 정보교류가 이루어지지 않음

* 금보원 : 금융회사의 보안 현실에 대한 파악이 어려워 금융회사 입장에서 보면 불필요한 정책연구가 많다는 지적

** ISAC : 새로운 침해 연구 등이 부족해 새로운 침해 탐지기능 미약

⇨ 금결원 및 코스콤의 보안관제조직(ISAC)과 금보원 기능을 통합하여 “금융보안전담기구(가칭 금융보안원)” 설립 추진

2		문제점 및 질의

※ 기본적으로 사이버보안을 강화하기 위하여 통합 금융ISAC이 필요하다는 데 동의하나, 전 국민에게 영향을 미치는 보안관제 업무이므로 그 추진 과정 및 내용을 검토할 필요가 있음.

1. 눈가리고 아웅 식의 졸속 조직 개편

ㅇ 2014.1.27. 카드3사 개인정보 유출사건 이후, 2014.2. 금융위는 독립된‘금융전산보안 전담기구’신설에 대해 대통령께 업무보고함.

- 2014.9.에는 코스콤과 금융결제원의 금융ISAC 기능을 통합하고 기존 조직인 금융보안연구원을 확대 개편하는 안을 발표함.

ㅇ (조직 신설 → 기존 조직 확대 개편) 이라는 입장 전환에 따라 신생조직의 필요성을 주장하면서 다시 기존의 조직을 활용하겠다는, 아랫돌 빼서 윗돌 올리는 식의 졸속 조직 개편임.

- 금융결제원의 현 금융보안시스템과 설비를 두고 코스콤 설비를 이전하는 방안을 검토하는 것으로 알려져 있는데, 현 시스템 유지와의 차이가 무엇인가?

2. 금융보안의 중요성과 금융보안 전담기구에 관한 논의는 하루 이틀 있어 온 것이 아님. 전산 보안 강화를 이유로 기존에 신설되었던 기구가 제 역할을 다하지 못해, 또다시 유명무실한 기구를 만드는 것이 아닌지 우려됨.

ㅇ 정부는 2005년 외환은행 인터넷뱅킹 해킹 사고 발생 이후, 전자거래의 안전성 문제가 사회적 이슈로 제기됨에 따라 금융부문 해킹 대응 등을 위한 전담조직 설립 방침을 제시하였고, 비영리법인 형태의 금융보안연구원을 설립함.

- 그러나 현재, 금보원은 주로 해킹대응보다는 정책ㆍ기술 연구ㆍ분석 및 시험 등의 업무를 수행하고 있음.

- 게다가 금융보안연구원은 관피아 논란, 방만경영 등의 문제를 안고 있음. 새로운 조직 신설에 거부감이 들 수밖에 없는 지점임. (5번에 지적)

3. 정책일관성 결여로 혼란 가중

ㅇ 2013.1. 금융위는 금융보안연구원 감사시 금융ISAC 업무 중복에 따라 금융보안연구원에 금융ISAC 업무를 제외하고 고유업무인 보안 연구기능 강화를 요구한 바 있음.

다. 고유 업무 운영 실태

① 금융보안연구원과 금융ISAC(금결원, 코스콤)의 업무 중복

☞ 금융보안연구원의 고유 업무인 정보보안 교육․연수, 보안기술 연구․개발, OTP통합인증센터 운영 등 금융보안 연구기능을 강화하고, 정관이 규정하고 있는 바에 따라  금융ISAC과의 기능 중복이 발생하지 않도록 할 것   (개선통보)

<출처: 금융위원회, 금융보안연구원 종합감사 결과보고서 (2013.1), 7p>

→ 이제는 금결원과 코스콤의 금융ISAC기능과 금융보안연구원의 기능을 통합하는 방안을 발표함.

4. 금융위원회는 현행 코스콤-금융결제원의 금융ISAC 분리 체제가 해외에 유사한 사례가 없다고 주장하고 있으나,

ㅇ 금융ISAC의 전담조직이 필요하다면 코스콤과 금융결제원에 ISAC기능이 분리된 채 10년 넘게 방치하며 추진하지 않은 이유는 무엇인가?

6. 코스콤 및 금융결제원의 ISAC업무 시작 시점

□ 금융ISAC은 주요정보통신기반시설 보호를 위해 ｢정보통신기반보호법｣이 시행(’01.7월)된 이후

ㅇ 금융결제원은 은행권을 대상으로 ‘02.12월부터 ISAC을 시행하였으며

ㅇ 코스콤은 증권을 대상으로 ‘03.2월부터 ISAC을 시행하였습니다.

<출처: 금융위원회 답변자료>

- 게다가 금융ISAC 기능 통합에 대한 연구용역 실적이 전무함.

5. 금융ISAC 기능통합 관련 연구용역 (‘11년~현재)

□ 금융보안전담기구 논의는 작년 3.20 전산사태를 계기로 국가차원에서 사이버테러 대응체계를 강화하고 있었고, 금융분야도 대응체계를 강화할 필요성에 따라 계속 논의되어 온 사항으로 별도의 연구용역은 없습니다.

<출처: 금융위원회 답변자료(2014.10.14.)>

5. 금융보안연구원 원장 관피아 논란

※ 금보원 신설로 금감원이 자리를 만든다는 의혹은 계속 제기되어 옴.

ㅇ 기존 원장, 대부분 금감원 출신

- 현재 원장은 금융감독원 부원장보 출신임.

역대 금융보안연구원 원장 명단

이름	임기	재직기간	주요약력
정성순	3년	2006.10~2009.10 (3년)	•한국은행(79~98) •금융감독원 신용감독국장 뉴욕사무소장, 인력개발실 교수
곽창규	3년	2009.10~2012.02 (2년 4개월)	•한나라당 여의도연구소 상근부소장 •제17대 이명박 대통령취임준비위원회 자문위원 •경제정의실천시민연합(경실련) 상임연구위원
김광식	3년	2012.02~2014.03 (2년 1개월)	•한국은행(82~98) •금융감독원(1999.1.~2012.2.) 공보실 국장, 기업공시국 국장
김영린	3년	2014.04~재직중 (현재 5개월)	•한국은행(82~98) •금융감독원 감독서비스총괄국장, 거시감독국장, 부원장보

<출처: 금융보안연구원>

ㅇ 방만경영 지적

- 감사원 지적사항에 의하면, 금융보안연구원은,

1) (인사 기준 부재) 정원을 아무런 근거 없이 증원하고, 직원 채용시 심사기준 등의 기준 없이 채용함.

2) (방만경영) 임직원 간담회 비용 및 부서내 업무 협의 등으로 회의행사비를 사용하고, 원장에 대한 ‘특별종합검진비’ 예산 편성 및 대학생자녀에 대한 학자금 전액 지원 등, 임직원에 대한 과도한 복지제도 운영을 지적하고 있음.

□ 분야별 지적내역

지적분야	지적내용	처분내용
인사/정원관리 및 위원회 운영	∎정원에 대한 체계적 관리 필요 ∎직원 채용 관리 미비	주 의(기관) 개선통보
예산 편성 및 집행	∎회의행사비 사용 용도 부적합 ∎임․직원들에 대한 과다한 복지제도 운영	주 의(기관) 개선통보
고유 업무 운영	∎금융보안연구원과 금융 ISAC의 업무 중복 문제 ∎OTP통합인증센터 안전성 점검 방안 개선 필요 ∎전자금융보조업자에 대한 부적절한 안전성 합동 점검	개선통보 개선통보 개선통보

<출처: 금융보안연구원 종합감사 결과보고서(2013.1)>

ㅇ 이렇게 기준 없이 방만하게 운영되어 온 금융보안연구원 조직에 코스콤과 금융결제원의 금융ISAC기능을 통합ㆍ개편하여 금융보안원을 만든다는 것이 금융위원회의 계획임. 방만 경영 등의 문제가 반복되지 않을지 본 의원은 심히 걱정됨.

3		김상민의원(새누리당, 정무위원회) 코멘트

1. 정보 분리에 따른 사고를 방지하고 금융보안을 강화한다는 관점에서 금융ISAC 기능 통합이 필요하다는 주장에는 동의하나 이같이 졸속으로 추진되는 것은 바람직하지 않음.

2. 전담기구는 보안관제(ISAC)와 전자적 침해대응 및 금융회사 보안시스템의 취약점 분석·평가, 보안인증제 운영 등을 담당하는 기구로써 기능한다는 점에서 위탁받은 업무를 수행하는 임·직원에게 취득한 정보의 비밀누설금지 등의 조항을 규정하는 방안이 검토될 필요가 있음.