오픈뱅킹 활발한데...금융권 들쑥날쑥 ‘보안 투자 공시’ [해킹, 붕괴된 금융 신뢰]

은행별 공시 참여 제각각…금융공공기관 '전무'
의무공시 대상서 빠진 금융권, 사각지대 늘어

금융권의 보안 관련 투자 정보 공시 체계가 여전히 허술한 것으로 나타났다. 계좌 연동과 데이터 집적 범위가 급격히 확대된 ‘오픈뱅킹 시대’에 보안 공시 취약성이 고착화하면 대규모 피해로 이어질 수 있다는 우려가 제기된다. 최근 SGI서울보증, 롯데카드 등 수백만~수천만 명의 개인정보를 보유한 금융사들이 잇따라 해킹 공격을 당한 만큼 대책마련이 시급하다는 지적이 나온다.

14일 한국인터넷진흥원(KISA)에 따르면 5대 은행(KB국민·신한·하나·우리·NH농협) 중 정보보호 투자 자율공시에 참여한 곳은 국민은행, 신한은행, 우리은행 등 3곳뿐이다. 다만 하나은행은 내년부터 KISA에 보안 투자, 인력 현황 등을 공시할 예정이다.

특히 정책금융기관의 공시 부실은 심각하다. 한국산업은행, 기술보증기금 등은 투자·인력 운용 현황조차 공개하지 않아 실태 파악이 불가능하다. 공공기관경영정보공개시스템(알리오)에도 단순 등급만 표기돼 있을 뿐이다.

이는 제도적 허점에서 비롯됐다. 현행 정보보호공시제도는 2021년 시행됐지만, 의무 대상은 매출액 3000억 원 이상 상장사 등 일부 대기업에 한정돼 있다. 금융사는 ‘금융 관련 법률에 따라 별도 감독을 받는다’는 이유로 적용 대상에서 제외됐다. 은행을 비롯한 주요 금융사의 공시가 자율에 맡겨지면서 참여 여부도 제각각이다.

공시 항목도 단순하다. 투자액·인력·최고정보보호책임자(CISO) 지정 여부 정도에 불과하다. 투자 항목별 세부 내역이나 보안 체계 수준은 제외돼 체계적 비교·평가는 사실상 어렵다. 일부 은행만 공시하고 있어 전체 금융권의 보안 수준을 객관적으로 비교·평가하기가 사실상 불가능한 상태다. 상대적으로 보안 투자 여력이 부족한 중소·중견 금융사와 핀테크 기업들은 대부분 공시 의무 대상에서 빠져 사각지대마저 커지고 있다.

문제는 이런 허점이 최근 잇따른 해킹 시도와 맞물리며 금융 시스템의 근간을 흔들 수 있다는 점이다. 보안 사고는 단순히 개인 피해에 그치지 않는다. 금융권은 국가 핵심 인프라로 분류되는 만큼 대규모 정보 유출이나 서비스 장애가 발생할 경우 금융거래 마비, 결제 지연, 대외 신인도 하락 등으로 연쇄 충격이 번질 수 있다는 게 전문가들의 지적이다. 특히 오픈뱅킹과 간편결제가 확산되면서 공시 체계와 투자 관리의 미비는 곧 시스템 리스크로 직결될 수 있다고 경고한다.

권헌영 고려대 정보보호대학원 교수는 “정보보호 공시를 비롯해 전반적인 보안 정책을 국가 차원에서 재정비할 시점”이라며 “금융권과 통신 등 인프라 전반에서 사고가 잇따르는 만큼 종합적인 점검이 필요하다”고 강조했다.

한편 KISA 정보보호공시에 따르면 지난해 국민은행의 정보보호 투자 규모는 전년과 유사한 425억 원, 전담인력은 97명 수준이다. 같은 기간 신한은행은 370억 원을 투입하고 인력을 85명에서 91명으로 늘렸다. 우리은행은 444억 원을 투자해 73.8명의 인력을 보유 중이다.