금융보안 관련 이사회 보고 의무가 내년 8월부터 강화될 예정이다. 금융보안포럼은 이를 준비하는 금융회사를 지원하기 위한 안내서를 최근 공개했다. 이번 안내서는 금융보안 거버넌스 강화를 목표로 삼으며, 보고 대상과 절차를 상세히 제시했다.
이번 조치는 전자금융감독규정 개정에 따른 것으로, 금융회사의 최고정보보호책임자(CISO)가 이전에는 최고경영자에게만 보고하던 정보보호위원회 심의·의결 사항을 이사회에도 보고해야 한다. 특히 전자금융거래의 안전성과 신뢰성에 중대한 영향을 미치는 내용이 주요 대상이다. 이러한 제도적 변화는 금융보안을 경영 리스크 차원에서 인식하고 대응하기 위한 목적에서 비롯됐다.
안내서는 정보보안 목표와 전략부터 위험평가 및 대응 조치, 침해사고 대응, 클라우드 및 제3자 리스크 관리 등 주요 보고 대상을 유형별로 구분했다. 또한 정기와 수시 보고 시기, 대면과 서면 보고 방식을 매트릭스로 정리해 실무 활용성을 높였다. 보고서 샘플과 체크리스트도 제공해 금융회사의 보고 준비 부담을 완화했다.
금융보안포럼은 2010년 설립된 협의체로, 금융보안 관련 이슈를 중심으로 민간 전문가와 금융회사 CISO 간의 의견 교류를 이어오고 있다. 이번 안내서는 금융보안원 홈페이지 자료마당과 레그테크 포털을 통해 누구나 확인할 수 있다.
박상원 금융보안원장은 "금융보안의 중요성이 커지면서 이사회 등 경영진이 보안 이슈를 경영 리스크 차원에서 인식하고 책임 있는 위험관리 거버넌스 체계를 갖추는 것이 필수 과제로 떠오르고 있다"며 "이번 안내서가 금융회사의 이사회 보고 준비 부담을 완화하고 실효적인 금융보안 거버넌스 확립에 참고 자료가 되길 기대한다"고 말했다.
이번 보고 의무 강화는 금융회사의 보안 거버넌스 체계를 더욱 공고히 할 것으로 보인다. 업계에서는 이번 조치가 금융보안의 중요성을 다시 한 번 부각시키는 계기가 될 것으로 전망하고 있다.
