[차장칼럼] 금융권은 여전히 보안에 인색하다

최근 금융권 연쇄 해킹 사태를 보면 편리함 속에 보안은 뒷전이 아니었는지 지적하지 않을 수 없다. 금융보안원은 사고 발생 불과 2주 전인 지난달 17일 금융회사 보안 담당자들에게 국내 금융사를 겨냥한 AI 에이전트의 실제 공격 사례를 설명했다. 이후 침해 사고가 발생한 금융회사 상당수의 담당자도 참석했지만 개인정보 유출을 막아내지 못했다.

금융권의 보안투자 실태도 디지털 강국이라는 위상에 걸맞은지 의문이다. 박성훈 국민의힘 의원이 금융당국 자료를 분석한 결과, 전산장애 발생 횟수 상위 20개 금융사의 지난해 정보보호 예산은 4380억 원이었지만 실제 집행액은 3050억3000만 원으로 집행률이 69.6%에 그쳤다. 편성한 예산의 약 30%를 쓰지 않은 것이다. 우리은행의 집행률은 53.8%, 최근 정보유출이 확인된 KB국민은행은 58.1%였다.

올해는 해당 20개사 가운데 7곳이 정보보호 예산을 지난해보다 줄였다. 우리은행은 21.7%, 한국씨티은행은 18.0%, 신한은행은 10.4% 축소했다. 보안 위협이 커지는 상황에서 계획한 투자조차 충분히 집행하지 않았다.

해외에서는 보안을 금융회사 경영진이 직접 책임져야 할 핵심 경영 과제로 다루고, 투자와 대응 역량을 제도적으로 뒷받침하고 있다. 유럽연합(EU)은 보안에 대한 경영기구의 책임과 실전 검증을 법적 의무로 명시하고 있다.
지난해 1월 17일부터 적용된 디지털운영복원력법(DORA)은 금융회사의 IT 위험 관리와 외부 IT 서비스 제공업체 관리, 주요 사고 보고 등을 규율한다. 금융회사 내부뿐 아니라 서비스를 연결하는 외부 업체의 위험까지 관리하도록 한 것이다.

이사회 등 경영기구에는 IT 위험 관리의 최종 책임을 부여하고, 필요한 예산을 배정해 주기적으로 검토하도록 했다. 보안을 담당 부서에만 맡겨둘 수 없도록 책임과 자원 배분을 함께 명시한 것이다.

일정 요건에 해당하는 금융회사는 실제 운영 시스템을 대상으로 공격을 모사하는 침투 시험도 수행해야 한다. 서류상 점검을 넘어 실제 공격을 견딜 수 있는지 검증하는 방식이다. 국내에서도 보안 규정의 존재만으로 안심할 것이 아니라 경영진이 투자와 점검 결과를 직접 챙기고, 취약점 개선까지 책임지는 체계를 실질적으로 작동시켜야 한다.

오는 19일 금융감독원 국정감사에서는 금융권 해킹 사태의 원인과 대응 등이 논의된다. 단순히 사고 경위뿐만 아니라 사전 경고 이후의 대응, 보안 예산의 미집행 사유를 확인해야 한다.

금융당국도 사고 이후 점검 지시를 반복하는 데 그쳐서는 안 된다. 디지털 전환의 성과를 평가할 때 보안에 대한 경영진의 책임도 함께 물어야 한다. 금융회사는 디지털 서비스를 확대하는 만큼 보안투자도 늘려야 한다. 고객 정보를 보호할 책임은 금융회사에 있다.
보안은 문제가 생겼을 때 추가하는 비용이 아니다. 고객의 돈과 민감한 정보를 다루는 금융서비스의 기본 원가다. 새 서비스를 출시하면서 연결되는 시스템을 빠짐없이 식별하고, 인증과 접근 권한을 계속 검증해야 한다.

침입이 발생해도 핵심 자산까지 접근하지 못하도록 내부망 흐름을 통제하는 체계도 필요하다. 정기 점검을 마쳤다는 사실이 안전을 보증하는 시대는 지났다.


홍석경 글로벌이코노믹 기자 hong@g-enews.com