이찬진 “금융권 해킹, CEO 내부통제 책임 다루는 첫 사례 될 것”

[이데일리 최정훈 기자] 이찬진 금융감독원장은 19일 금융권 연쇄 해킹 사태와 관련해 “내부통제 기준 관리 의무와 관련해 사이버보안 해킹 사건에서 최초로 최고경영자(CEO)의 책임 문제가 다뤄지는 사안이 될 것으로 생각한다”고 밝혔다.

이찬진 금융감독원장이 19일 서울 여의도 국회에서 열린 정무위원회의 금융감독원 등에 대한 국정감사에서 질문에 듣고 있다.(사진=뉴시스)

이 원장은 이날 국회 정무위원회 국정감사에서 김용만 더불어민주당 의원의 질의에 이같이 답했다. 이번 해킹 사고에 대한 점검 과정에서 경영진의 내부통제 관리 책임도 살펴보겠다는 취지다.

김 의원은 KB국민은행의 초기 대응과 정보 유출 인지 지연을 문제 삼았다. 그가 제시한 자료에 따르면 국민은행은 지난달 27일 오후 11시19분 해커의 첫 접근을 받았지만 단순 IP 차단에 그쳤고, 29일 새벽 베트남 IP를 이용한 우회 공격으로 81명의 정보가 추가 유출됐다.

이환주 국민은행장은 “지적하신 것처럼 신속하게 차단하고 대응하지 못한 점에 대해서는 아쉬움이 많이 남는다”고 말했다.

김 의원은 국민은행이 첫 침입 이후 약 80시간이 지난 지난달 30일 오후 7시께 유출 정황을 최종 확인하고, 다음 날 오후 6시께 금감원에 보고했다며 대응이 늦었다고 지적했다. 특히 금융보안원이 공격자 IP를 알려주기 전에 은행이 자체적으로 유출 사실을 파악했는지 따져 물었다.

이 행장은 “금융보안원에서 IP가 오기 전인 오전에 자체적으로 차단했다”며 “30일 오전에 이상 징후를 확인했다”고 답했다. 이상 징후 인지와 실제 정보 유출 정황을 확인하는 데는 시간 차이가 있었다는 설명이다.

정보 유출 관련 로그 삭제와 은폐 지시 의혹에 대한 질의도 이어졌다. 이 행장은 처음에는 “없었다”고 답했으나, 추가 질의에는 자신이 은폐를 지시한 적이 없다는 의미였다고 설명했다. 관련 부서 회의 과정에서 그러한 지시가 있었는지에 대해서는 “보고받은 것이 없다”고 밝혔다.

김 의원은 금융당국과 금융보안원이 사전에 AI 보안 위협과 사고 대응 역량 강화를 강조했는데도 사고가 발생했다며, 회의와 자체 점검을 넘어 금감원이 직접 전수조사에 나서야 한다고 요구했다.

이 원장은 조사 여력에 한계가 있다면서도 취약 부분을 우선 전수조사하고 “최대한 전수조사에 준하는 정도로 해보겠다”고 답했다.

망분리 규제 완화에 대해서는 전면적인 추진보다 기본 보안체계 점검과 단계적 전환이 필요하다는 입장을 밝혔다. 이 원장은 “지금 전면적으로 하기는 어려운 상황”이라며 “기본에 충실하면서 AI 보안체계로 단계별 전환해야 하는 부분이 있는 것 같다”고 말했다.

이어 “외부 노출 부분을 최소화하면서 기본에 충실하는 것부터 먼저 진행하는 것을 점검하려고 하는 게 기본 방향”이라고 설명했다.