[미디어펜=류준현 기자] 은행·증권·보험업권에 이어 가상자산업계가 해킹사고를 겪으며 '보안'이 금융권의 최대 관심사로 부상했다. 특히 이찬진 금융감독원장이 지난 3일 열린 본원 임원회의에서 해킹사고를 막지 못한 금융사를 상대로 경영진을 문책하고, 징벌적 과징금도 부과하겠다며 강경 어조를 내비쳤다. 금융권을 뒤흔든 이번 해킹사고를 계기로 은행 등 금융권이 보안에 더욱 신경 쓸 것으로 예상되는 가운데, 실제 투자 확대로까지 이어질 지 주목된다.
4일 금융권 및 금감원 등에 따르면 이 원장은 전날 임원회의에서 "사고 발생 회사에 대해서는 기배포 유의사항, 자체점검 등이 적정하게 이뤄졌는지 면밀히 살펴볼 것"이라며 "종합금융투자사업자, 보험사 등 대형금융회사의 경우 기존에 밝혔던 은행권 검사·제재 방침과 동일하게 CEO 등 경영진의 책임까지 엄중하게 물을 것"이라고 엄중 경고했다.
은행·증권·보험업권에 이어 가상자산업계가 해킹사고를 겪으며 '보안'이 금융권의 최대 관심사로 부상했다. 특히 이찬진 금융감독원장이 지난 3일 열린 본원 임원회의에서 해킹사고를 막지 못한 금융사를 상대로 경영진을 문책하고, 징벌적 과징금도 부과하겠다며 강경 어조를 내비쳤다. 금융권을 뒤흔든 이번 해킹사고를 계기로 은행 등 금융권이 보안에 더욱 신경 쓸 것으로 예상되는 가운데, 실제 투자 확대로까지 이어질 지 주목된다./사진=미디어펜 김상문 기자
또 해킹사고 금융사에 징벌적 과징금(매출액의 3%)을 부과할 수 있도록, '전자금융거래법' 개정안을 통과시키겠다는 의중도 드러냈다. 기본 통제 부실, 보안 취약점 방치 등으로 해킹사고가 발생한 금융사에게 징벌적 수준의 과징금을 부과하겠다는 구상이다. 특히 법개정 전이라도 감독분담금을 수익자 부담 원칙에 근거해 사고 발생 등에 따라 차등 부과하는 등의 대안도 모색하겠다는 방침을 내비쳤다.
이와 함께 이 원장은 금융권에 자율보안체계 확보를 강조하면서, 경영진·이사회가 내년도 보안 예산·인력 확충 등에 앞장서줄 것을 강조했다.
이 원장의 이 같은 강경 기조는 기본 요건조차 지키지 못한 금융사가 꽤 많은 까닭으로 풀이된다. 박민규 더불어민주당 의원이 금감원으로부터 확보한 자료에 따르면 지난달 8일까지 12개 항목으로 구성된 체크리스트를 통해 자체 점검한 금융사 555개사 중 130개사가 일부 항목에서 '미흡'을 보고했다. 이 중 은행·금투사·보험사 등은 302개사 중 59개사로 전체의 약 19.5%를 차지했다. 은행업권에서는 32개사 중 6개사(18.8%)가, 금투업권에서는 77개사 중 19개사(24.7%)가, 보험에서는 45개사 중 7개사(15.6%)가 각각 미흡을 보고한 바 있다.
지난 국회 정무위원회 국정감사도 영향을 준 것으로 보인다. 지난달 19일 열린 국감에서 이 원장은 해킹사고에 대해 "최초로 CEO의 내부통제 기준 관리 책임 의무가 다뤄지는 사안이 될 것"이라고 발언한 바 있다. 당시 국감에서 여야 의원들은 증인으로 출석한 5대 은행장을 상대로 보안문제를 비판하기도 했다.
은행권은 이번 해킹사고를 계기로 보안투자를 확대하고 전문 인력을 확충하겠다는 계획을 내놓고 있다. 업계에 따르면 5대 시중은행(KB국민·신한·하나·우리·NH농협)은 내년도 정보보호 예산을 늘리거나, 관련 전문 인력을 확충할 예정이다.
우선 KB국민은행은 내년 정보보호 예산을 1000억원 이상으로 대폭 늘린다. 올해 정보보호 예산 편성액이 860억 7500만원인 것으로 전해지는데, 약 16% 이상 증액하는 셈이다. 더불어 국민은행은 올해 약 51억원 규모의 AI 위협 대응 신규 보안 사업을 연내 완료하는 것을 목표로 하고 있다. 현재 진행 중인 AI를 활용한 보안 솔루션 연구는 내년 사업계획에도 반영될 예정이다.
신한은행은 내년 정보보호 예산을 업계 최고 수준으로 편성할 계획이다. 이를 위해 최근 3년간 타행의 예산 편성·집행 내역을 분석해 관련 투자 규모를 검토 중이라는 후문이다. 아울러 AI 보안 전문가 및 화이트해커 등 외부 인재도 영입 중이다. 올 하반기에는 해외 데이터 유출 방지(DLP) 체계를 재구축하고 있다.
하나은행은 보안체계 구축에 수백억원의 예산을 편성할 예정으로, 현재 △이상행위 탐지·분석 △디도스(DDoS·분산서비스거부)·네트워크 탐지 및 대응(NDR) △상시 취약점 점검 △포렌식·ASM 개선 등에 집중하고 있다. 내년 상반기 중에는 양자내성암호를 시범 적용하고, 제로트러스트 보안체계를 확대할 계획이다.
우리은행은 내년도 정보보호 예산을 올해보다 20% 이상 확대하고, 전문 인력을 현재보다 10% 이상 확충하는 방안을 검토 중이다. 더불어 다음달 말 중 내부 화이트해커·외부 업체 참여 웹·앱 전수 취약점 점검을 마무리할 예정이다.
NH농협은행도 내년 정보보호 투자를 확대해 서버 보안과 AI 안전성 검증, 취약점 관리 등에 집중할 예정이다. 또 오픈소스 취약점 분석과 보안 체계 설계, 화이트해커, 보안 데이터 분석 등에서 직원을 채용 중인데, 올 연말 정기 인사와 조직개편에서도 정보보안 인력을 확충할 예정인 것으로 전해진다. 내년 상반기에는 GPT 관제 고도화, EDR 체계 실증 등을 앞두고 있고, 하반기에는 자체 AI 레드티밍 시스템을 도입할 계획이다.
다만 이들 은행이 투자계획에 따라 실집행에 나설 지는 미지수다. 박성훈 국민의힘 의원실이 금융당국으로부터 확보한 자료에 따르면 상위 20개 금융사의 지난해 정보보호 예산 집행률은 전체 편성액 대비 약 69.6%에 그쳤다. 특히 20개 금융사 중 국민·신한·우리 등 3사는 예산 편성을 늘렸음에도, 실제 예산 집행이 절반 수준에 불과했던 것으로 나타났다.
올해 상반기의 경우 계획보다 예산 집행이 더욱 크게 감소했다. 국민은행은 올해 860억 7500만원을 예산으로 편성했는데, 상반기까지 233억 6100만원을 투입해 27.1%의 집행률을 거두는 데 그쳤다. 국민은행은 올해 예산 편성을 약 27.3% 확대했는데, 상반기 기준 실제 보안투자는 30%도 채 못미쳤다. 신한은행도 올해 405억 9100만원을 편성했는데, 상반기 중 투입된 예산은 183억 6300만원에 그쳐 집행률 45.2%에 그쳤다. 우리은행은 올해 615억 6600만원을 예산으로 편성했으며, 올해 상반기까지 265억 300만원을 투입해 43.1%의 집행률을 거뒀다.
한 금융권 관계자는 "당국이 업계에 선제적 보안투자를 요구하는 동시에 보안을 핵심 리스크 요소로 감독할 필요가 있다"고 제언했다. 그러면서 "은행들이 비판 여론을 의식해 예산 편성만 경쟁적으로 늘리는 경향이 있다"며 "은행의 보안투자 실집행률을 모니터링해야 한다"고 부연했다.
[미디어펜=류준현 기자]