금감원, 보험사 해킹사고 시 CEO 책임 추궁…GA도 외부 접점 전수점검

금융감독원이 보험사와 증권사 등으로 해킹 사고가 번지자 경영진 책임을 묻는 쪽으로 감독 기조를 바꿨다. 2026년 11월 3일 임원회의에서 이찬진 금감원장이 업권별 대응 현황을 점검한 뒤 IT 보안 강화 대책을 지시했다. 금감원은 사이버 공격이 은행에서 보험·증권 같은 전통 금융회사로 퍼졌고, 법인보험대리점(GA)과 가상자산사업자, 온라인투자연계금융업자처럼 보안 관리가 상대적으로 허술한 영역까지 위협한다고 봤다. 가상자산사업자와 온투업자에서는 실제 금전 피해도 발생했다.

금감원은 그동안 통합관제시스템을 통해 보안 유의사항을 전달하고, 사고가 본격화된 뒤에는 긴급 체크리스트로 자체 점검과 불필요한 외부 접근 차단을 요구했다. 그럼에도 눈에 띄는 개선이 없다고 판단해, 사고를 낸 회사가 기존 지침을 제대로 이행했는지 집중 확인하기로 했다. 대형 보험사와 종합금융투자사업자는 기본 보안통제 미흡이나 형식적 점검으로 사고가 나면 CEO 등 경영진의 역할과 책임을 따져 엄중 조치한다. 은행권과 같은 수준의 검사·제재 원칙이 적용된다.

금전적 제재도 손본다. 기본 보안통제 부실이나 취약점 방치로 사고가 나면 매출액의 3%까지 징벌적 과징금을 물릴 수 있게 한 전자금융거래법 개정안의 국회 통과를 금감원이 지원한다. 법 개정 전에도 사고 여부를 감독분담금에 반영해 회사별 부담을 달리하는 방안을 검토한다. 아울러 GA, 대부업체 등 전자금융거래법 미적용사까지 포함해 금융권 전체가 외부 접점을 전수 점검하도록 하고, 금전 피해로 이어질 수 있는 접점은 취약점 해소 전까지 외부 접근을 원칙적으로 막게 한다. 금감원은 내부에 IT 보안 전담 조직도 신설한다.