[마감 후] 금융사엔 회초리, 당국은 채점표 밖

금융당국의 해킹 대책에는 묘한 기시감이 느껴진다. 사고가 터지면 긴급회의를 소집하고 전수점검을 지시한다. 금융회사들은 보안 상태를 확인해 결과를 제출하고 대부분 문제가 없다고 답한다. 당국은 미흡 사항에 대한 보완을 주문하지만 사고는 또 발생한다. 이번에는 점검 범위를 넓히고 최고경영자(CEO)의 책임까지 묻겠다고 한다. 공격 수법은 갈수록 교묘해지는데 대응은 좀처럼 달라지지 않는다.

은행뿐 아니라 증권·보험 등 금융권 곳곳에서 침해사고가 잇따랐다. 금융당국이 긴급 자체점검을 실시한 뒤에도 사고 신고는 이어졌다. 당국이 내놓은 처방은 또다시 전수점검이었다. 앞선 점검의 한계를 충분히 규명하기도 전에 새로운 점검 계획부터 꺼내 든 것이다.

애초에 점검 방식부터 맹점을 안고 있다. 금융회사가 스스로 취약점을 확인해 보고하는 구조라 보안 역량이 부족할수록 위험을 발견하지 못했으면서도 문제가 없다고 판단할 수 있다. 정작 이를 걸러내야 할 당국은 제출된 결과를 얼마나 독립적으로 검증했는지 충분히 설명하지 않았다.

전수점검이란 말이 주는 안도감도 경계해야 한다. 모든 금융회사를 살펴봤다는 사실이 모든 위험을 확인했다는 의미는 아니다. 점검을 했다는 실적이 위험을 줄였다는 성과를 대신할 뿐이다. 이런 방식은 실제 위험을 찾아내는 감독보다 점검을 무사히 마치는 행정에 무게가 실리기 쉽다. 금융회사는 정해진 항목을 충족하는 데 집중하고, 당국은 제출된 결과를 바탕으로 관리 실적을 확인한다. 그 사이 해커는 점검표에 없는 빈틈을 노린다.

전문가들이 독립적인 취약점 검증과 불시 모의침투, 사후 확인을 강조하는 이유도 여기에 있다. 금융회사가 놓친 위험까지 찾아내고 실제로 개선됐는지 확인해야 한다는 것이다. 당국의 점검이 그 역할을 얼마나 수행했는지는 불투명하다.

이런 가운데 당국이 한층 강하게 내세운 처방은 금융회사에 대한 책임 강화다. 최고경영자(CEO)의 보안관리 책임을 무겁게 하고 중대한 취약점을 방치하면 제재하겠다는 것이다. 감독의 빈틈을 어떻게 메울 지보다 금융회사의 책임을 어떻게 무겁게 할지가 앞서는 모습이다.

금융회사가 규정에 따라 점검했더라도 사고가 발생하면 관리체계의 적정성을 따져보겠다는 당국이다. 같은 잣대라면 당국의 점검도 실제 사고 예방에 얼마나 기여했는지 평가받아야 한다. 당국은 몇 차례 점검하고 무엇을 지시했는지만 설명할 뿐, 어떤 위험을 놓쳤고 감독 방식에 무슨 허점이 있었는지는 뭉뚱그렸다. 금융회사에는 결과에 대한 책임을 지우고, 자신은 절차를 이행했다는 사실로 책임을 대신하는 셈이다.

앞선 점검에서 무엇을 놓쳤는지 규명하지 않은 채 새로운 대책을 쏟아내는 것은 같은 실수를 반복할 위험을 키운다. 사고가 발생할 때마다 점검과 제재는 강화되지만, 감독체계의 허점을 바로잡는 일은 뒷전으로 밀린다. 금융회사의 보안 실패가 당국의 규제 강화를 정당화하는 명분으로 활용되는 사이, 정작 감독당국 자신의 문제는 제대로 평가받지 않고 있다.

금융회사에는 해킹을 막지 못한 책임을 엄격히 묻겠다고 한다. 그러나 그 회사를 감독해 온 당국이 무엇을 놓쳤는지에 대한 답은 여전히 부족하다. 해킹이 반복될수록 회초리만 굵어지는 감독, 정작 바뀌어야 할 것은 회초리의 굵기가 아니라 그것을 쥔 손의 능력이다.