[헤럴드경제=신소연 기자]인터넷뱅킹 등 전자 금융거래에서 해킹을 당해 손해를 봤다면 일차적 책임은 금융회사가 진다. 하지만 금융회사가 제공하는 보안 강화 절차를 따르지 않으면 이용자의 고의 및 중과실로 판단해 금융회사에 해킹 피해 책임을 물을 수 없다.

19일 금융권에 따르면 금융위원회는 오는 23일부터 이같은 내용의 전자금융거래법 개정안을 전면 시행한다.

개정안에 따르면 전자금융거래 해킹 사고에 대해 일차적 책임은 금융회사가 지고 손해배상을 해야 한다. 그동안 해킹 피해에 대한 책임 소재가 명확하지 않아 피해자들이 금융회사에 손해배상을 청구하기가 사실상 어려웠다.

또 해킹사고가 발생하면 금융회사는 사고와 관련한 정보를 수집 및 전파하는 등의 소극적 노력뿐 아니라 침해사고 대응 전담반을 운영하는 등 적극적으로 대응해야 한다.

전자금융 사고에 대한 금융회사 최고경영자(CEO)의 책임도 강화돼 매년 금융위에 정보기술 부문에 대한 추진목표와 실적, 향후 계획 등을 제출해야 한다.

다만 중소 금융회사는 정보보호최고책임자(CISO)에 대한 자격 요건이 완화돼 CISO 지정이 다소 쉬워진다. 종업원 수가 20명 이하인 농협, 신협 등 단위조합과 새마을금고는 자격요건을 갖추지 못하더라도 대표자 혹은 대표자가 지정하는 자를 CISO로 지정, 운영할 수 있도록 허용했다.

또 금융회사가 해킹사고에 우선적으로 책임을 지는 만큼 이용자의 고의ㆍ중과실 범위도 다소 확대된다. 즉 금융회사가 보안 강화를 위해 요구하는 본인확인절차를 정당한 사유 없이 거부하거나 보안카드뿐 아니라 공인인증서 등 본인인증수단을 대여, 위임, 노출 등을 하는 경우도 이용자의 고의ㆍ중과실에 포함하기로 했다. 따라서 금융회사가 제공하는 보안서비스를 이용하지 않으면 해킹 피해를 봐도 금융회사에 책임을 물을 수 없다.

금융권 관계자는 “해킹 피해에 대한 금융회사의 책임을 확대한 만큼 이용자의 중과실 범위도 조정해 형평성을 맞췄다”고 말했다.


carrier@heraldcorp.com