해킹 땐 CEO 문책…금융권 보안 예산·인력 확대 나선다

은행권 내년 보안 예산 1000억대로 확대
AI 방어체계 고도화·전문인력 확충
555곳 긴급점검에도 사고…금감원 점검 실효성 논란도

▲이찬진 금융감독원장이 19일 서울 여의도 국회에서 열린 정무위원회의 금감원 등에 대한 국정감사에서 의원 질의에 답하고 있다. 신태현 기자 holjjak@ (이투데이DB)

금융감독원이 잇단 해킹 사고에 대해 최고경영자(CEO) 책임까지 묻겠다고 경고하면서 금융권 보안체계 전반의 대대적인 변화가 예상된다. 금융회사들은 내년도 정보보호 예산과 전문인력을 늘리는 동시에 외부 시스템 접근 통제와 사고 대응 지침을 재정비하고 있다. 다만 금융회사에만 책임을 묻기에 앞서 대규모 긴급점검을 실시하고도 침해사고를 막지 못한 금융당국의 감독체계 실효성을 먼저 돌아봐야 한다는 지적도 나온다.

3일 금융권에 따르면 금융회사들은 내년도 사업계획과 예산 편성 과정에서 정보보호 투자 확대를 일제히 검토하고 있다. 이날 이찬진 금감원장이 보안관리 부실에 대한 CEO 책임을 강조하면서 경영진과 이사회 차원의 점검 필요성도 커졌다. 취약점 발견부터 개선 조치까지 책임 소재를 명확히 하는 방향으로 내부 지침을 정비해야 한다는 것이다.

은행권은 정보보호 투자를 확대하는 동시에 AI를 활용한 사이버 위협 탐지·대응체계 고도화에 속도를 내고 있다. KB국민은행은 내년도 정보보호 예산을 1000억원 이상으로 늘리고 내부 화이트 해커를 통해 AI 공격에 대한 능동방어기술의 성능과 실효성을 검증하고 있다. 하나은행 역시 1000억원대로 예산 확대를 예고했으며, AI 위협 대응 체계 강화를 위해 단말기·서버 해킹 실시간 대응 시스템 구축을 진행하는 한편 AI 기반 사이버보안 플랫폼과 보안패치 자동화를 확대 중이다.

시중은행 중 가장 큰 규모의 정보유출이 발생한 신한은행은 내년도 정보보호 예산을 금융권 최고 수준으로 확대하겠다고 밝혔다. 신한은행 관계자는 “단순한 예산 증액보다 투자의 효과성과 실효성을 높이는 것이 중요하다”며 “유관부서와 협의를 통해 실질적인 보안 역량 강화로 이어질 수 있도록 세부 투자 계획을 수립하고 있다”고 설명했다.

보안 전문인력 확보도 과제다. 사이버 공격이 지능화·고도화하는 상황에서 기존 인력만으로는 취약점 점검과 실시간 위협 탐지, 사고 발생 시 대응까지 감당하기 어렵다. 이에 따라 금융회사들은 보안 솔루션 도입과 시스템 개선뿐 아니라 전문인력 채용, 외부 보안업체 활용 등에 추가 비용을 투입할 것으로 보인다.

금감원은 기본적인 통제 미비나 보안 취약점 방치로 사고가 발생할 경우 매출액의 최대 3%에 달하는 과징금을 부과하는 전자금융거래법 개정을 추진하고 있다. 법 개정 전에도 사고 발생 여부 등에 따라 감독분담금을 차등 부과하는 방안을 검토하기로 했다. 금전적 제재를 강화해 금융회사들의 자발적인 보안투자와 관리체계 개선을 유도하겠다는 취지다.

그러나 잇단 보안점검에도 사고를 막지 못한 감독당국 역시 책임에서 자유롭지 않다. 금융당국은 555개 금융회사를 대상으로 긴급 보안점검을 지시해 130곳에서 248건의 미흡 사항을 발견하고 보완을 요구했다. 이 과정에서 16개 금융회사에서 약 10만건의 개인정보 유출도 확인됐다. 하지만 이후 보험·증권업계 등에서 침해사고 신고가 이어지면서 당국이 지시한 점검과 후속조치가 실제 사고 예방으로 이어졌는지 의문이 제기된다. 특히 추가 침해사고가 발생한 금융회사들이 앞선 점검에서 보안 취약점을 지적받은 곳인지조차 당국이 공개하지 않아 점검의 실효성을 둘러싼 의문은 더욱 커지고 있다.

금감원이 보안 전담 조직 신설과 전문인력 확충에 나선 것도 기존 감독체계의 한계를 보완하려는 조치로 풀이된다. 금융회사의 보안투자 확대가 실질적인 사고 예방으로 이어지려면 당국 역시 취약점 개선 여부를 직접 검증하고 사후관리 체계를 강화해야 한다는 지적이다.

이성엽 고려대 기술경영전문대학원 교수는 “금융회사에 과징금을 부과하는 것만으로는 근본적인 대책이 되기 어렵다”며 “상시적으로 점검·조치하는 방식으로 전환하고, AI 기반 대응체계 도입도 고려해야 한다”고 말했다.