[뉴스토마토 이종용 기자] 금융당국이 금융권에 내년도 정보기술(IT)·정보보호 예산 확대 계획과 보안 전문 인력 확충 방안을 요구할 방침입니다. 최근 금융권 전반으로 해킹 사고가 확산하면서 정보보호 투자 미흡과 내부통제 체계의 허점이 드러났기 때문입니다.
2일 금융권에 따르면 금융위원회는 오는 5일 이억원 위원장 주재로 전 금융권 해킹 대응 방안을 논의하기 위한 대책 회의를 개최합니다. 회의에는 금융감독원과 금융보안원, 국무조정실, 과학기술정보통신부, 개인정보보호위원회, 경찰청 등 관계기관과 은행·금융투자·보험·여신금융·가상자산업권 협회장들이 참석할 예정입니다.
당국은 각 업권 협회·중앙회를 축으로 업권별 보안 취약점 개선 상황을 점검하고, 내년도 IT·정보보호 예산 확대 계획과 전담 인력 확보 방안을 마련하도록 주문할 계획입니다.
금융당국 관계자는 "최근 국정감사에서 보안 투자 부족과 책임자 겸직 문제가 잇따라 지적된 만큼 업권별 상황 공유 등을 점검하고 개선 계획을 요구할 것"이라며 "개별 금융사 차원에서는 실제 예산이나 인력을 얼마나 늘릴 것인지 구체적 수치 등이 필요할 것으로 본다"라고 말했습니다.
금융위원회는 오는 5일 이억원 위원장 주재로 금융권 해킹 대응 방안을 논의하기 위한 대책 회의를 개최할 예정이다. 서울 종로구 정부서울청사 내 금융위원회. (사진=뉴시스)
정보보호 투자 확대 요구
이번 해킹 사고를 계기로 금융권의 정보보호 예산과 인력이 사이버 공격 증가 속도를 따라가지 못하고 있다는 지적이 이어졌습니다.
국회 재정경제기획위원회 소속 강민국 국민의힘 의원이 금감원으로부터 제출받은 자료에 따르면 올해 6월 말 기준 은행·저축은행·보험·카드·증권·자산운용 등 7개 금융업권의 정보보호 예산 편성액은 1조6726억원으로 집계됐습니다. 전체 IT 예산 14조2396억원의 11.7% 수준입니다.
은행권의 정보보호 예산 비중은 11.3%로 금융업권 평균보다 0.4%p 낮았습니다. 지난해 말 11.7%였던 은행권의 정보보호 예산 비중은 올해 상반기 0.4%p 하락했습니다. 생명보험과 증권업권도 각각 11.1%, 10.9%로 전체 평균을 밑돌았습니다.
정보보호 전문 인력도 부족한 상황입니다. 7개 금융업권의 전체 IT 인력 2만7508명 가운데 정보보호 담당자는 2654명으로 9.6%에 그쳤습니다. 해당 비중은 2023년 말 9.0%, 2024년 말 9.0%, 지난해 말 9.1%로 수년째 10%를 넘어서지 못하고 있습니다. 은행권의 정보보호 인력 비중은 8.8%로 금융업권 평균보다 0.8%p 낮았습니다. 생명보험은 8.4%, 증권은 9.5%였습니다.
보안 업무를 총괄하는 정보보호최고책임자(CISO)의 겸직 문제도 국감에서 도마에 올랐습니다. 금융업권 CISO 92명 가운데 정보보호 업무만 전담하는 인원은 68명(73.9%)이었고, 나머지 24명(26.1%)은 다른 업무를 겸하고 있었습니다.
은행권은 CISO 20명 가운데 18명이 전임자로 지정돼 상대적으로 전담 비중이 높았습니다. 반면 증권업권은 29명 중 18명, 저축은행은 9명 중 4명만 전임으로 근무하고 있었습니다.
이에 따라 당국은 CISO의 실질적인 권한 강화 방안도 논의할 것으로 보입니다. 현재 주요 은행의 CISO는 상무급인 반면, 전산시스템 개발·운영을 총괄하는 IT 부문장은 부행장급입니다. 이 같은 직급 차이로 CISO가 보안 취약점 개선이나 시스템 변경을 요구하더라도 실제 이행 과정에서 영향력을 발휘하기 어렵다는 지적이 제기돼 왔습니다. 당국은 CISO의 조직 내 위상과 독립적인 의사결정 권한을 점검하고, 보안 예산 편성과 전문 인력 배치에 실질적인 권한을 부여하도록 주문할 것으로 예상됩니다.
지난 10월19일 여의도 국회에서 열린 정무위원회의 국정감사에 KB국민·신한·하나·우리·NH농협 등 5대 은행장들이 해킹 사고 관련 증인으로 출석해 있다. (사진=뉴시스)
CISO 독립성 강화·이사회 책임 점검
금융권 해킹 사고는 지난 9월 말 은행과 저축은행, 캐피탈사를 비롯해 보험·증권·자산운용·가상자산업권까지 확산했습니다.
신한은행에서는 대출모집인 전용 서비스에 대한 비정상적인 접근으로 고객 약 2만5000명의 정보가 유출됐습니다. KB국민은행에서도 당초 119명으로 파악됐던 정보 유출 대상이 추가 조사 과정에서 2210명으로 늘었습니다. 유출 정보에는 고객의 이름과 연락처뿐 아니라 계좌번호, 예금잔액, 대출 거래 내역, 신용등급 등이 포함됐습니다.
저축은행에서도 피해가 잇따랐습니다. 예가람저축은행에서는 주민등록번호와 주소 등을 포함한 개인정보 5만24건이 유출됐으며, 웰컴·DB·OK저축은행에서도 침해사고가 확인됐습니다. 이어 미래에셋생명에서 침해사고가 확인됐고, 대신증권과 미래에셋자산운용, 가상자산거래소 빗썸에서도 해킹 피해가 추가로 드러났습니다.
금감원 현장검사가 진행 중인 가운데 금융사들이 핵심 금융거래 시스템에 비해 외부 연계 서비스나 임직원 업무지원 시스템의 보안관리에 상대적으로 소홀했다는 문제가 현재까지 드러났습니다. 외부 접속을 허용하는 시스템의 인증 절차가 미흡하거나 업무상 필요한 범위보다 많은 개인정보를 보관한 사례 등이 확인됐습니다.
금융당국 관계자는 "유출 피해가 큰 금융사부터 순차적으로 현장점검·검사를 이어가며 보안 조치 마련 등을 지시하고 있다"면서 "추후 금융사들이 자체 점검에서 발견한 보안 취약점에 대한 개선 계획을 제출받을 예정"이라고 말했습니다.
이종용 기자 yong@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지