[비즈니스포스트] 금융권에서 해킹·정보유출 사고가 잇따르는 가운데 4대 시중은행이 내년 정보보호 예산을 일제히 늘리고 나섰다.

금융당국이 중대한 관리 부실에는 최고경영자 책임까지 묻겠다고 한 만큼 늘어난 예산을 취약점 개선으로 연결하는 은행장의 역할도 무거워졌다.
 

9일 국회 정보위원장인 이양수 국민의힘 의원이 금융권에서 제출받은 자료에 따르면 신한은행은 내년 정보보호 예산을 1150억 원으로 편성했다. 올해 약 406억 원보다 약 183% 늘어난 규모다.

하나은행은 올해 약 636억 원에서 내년 1001억 원으로 약 57% 늘린다. KB국민은행도 올해 약 861억 원보다 16% 이상 많은 1천억 원 이상을 배정할 계획을 세웠다. 우리은행은 올해 약 616억 원에서 내년 763억 원으로 약 24% 확대한다.

은행들이 앞다퉈 보안 예산을 늘리는 것은 최근 정보유출 사고로 보안 관리의 허점이 드러난 데 따른 것이다.

신한은행에서는 대출모집인이 사용하는 조회 서비스에서, KB국민은행에서는 직원용 모바일 업무지원시스템에서 정보유출이 발생했다. 하나은행에서도 영업지원시스템을 통한 정보유출이 확인됐다. 

세 은행의 사고는 모두 고객이 직접 이용하는 금융서비스가 아닌 업무시스템에서 발생했다. 은행들은 고객용 서비스뿐 아니라 대출모집인과 직원 등이 사용하는 시스템의 접근권한과 취약점까지 점검해야 하는 상황이 됐다.

이런 시스템은 보안부서가 취약점을 찾아내더라도 그 업무를 맡은 부서가 접근권한이나 업무 절차를 바꾸지 않으면 개선하기 어렵다. 외부업체가 관여한 시스템이라면 업체의 협조도 필요하다. 

취약점 개선에 여러 부서와 외부업체의 협조가 필요한 만큼 이를 조율하고 인력과 예산을 배분하는 은행장의 역할도 커진 셈이다. 

금융당국도 보안 위험을 경영진이 직접 관리해야 한다는 점을 강조하고 있다.

이억원 금융위원장은 5일 전 금융권 간담회에서 “보안은 특정 부서의 기술적 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제”라며 “중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다”고 말했다.

금융당국은 이 같은 방침에 따라 약 580개 금융회사를 대상으로 하는 보안 전수점검에서 최고경영자(CEO), 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 역할과 보고체계, 투자 의사결정 절차를 살피기로 했다.

관련 점검을 올해 말까지 마무리하고 그 결과를 토대로 내년 1분기 보안 내부통제 가이드라인을 마련한다.

취약점이 발견됐을 때 서비스를 계속 제공할지도 경영진의 판단이 필요한 영역으로 뒀다. 중요한 취약점이 확인되면 해당 서비스의 외부접근을 차단해야 한다.

즉시 보완하기 어렵지만 서비스 제공이 꼭 필요한 경우에만 대체통제 수단을 마련하고 CEO 승인을 받아 예외적으로 서비스를 재개할 수 있도록 했다.

보안 위험이 남은 서비스를 다시 운영할지 은행장이 직접 판단하도록 한 것이다.
 

이처럼 보안 관리에 관한 경영진의 책임이 강화되면서 연말 임기 만료를 앞둔 4대 은행장들의 부담도 커졌다.

이환주 KB국민은행장과 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장의 임기는 모두 올해 12월31일 끝난다.

특히 정보유출 사고가 발생한 은행에서는 사고 수습과 재발방지 대책이 현직 행장의 연임을 둘러싼 변수로 작용할 수 있다는 분석이 나온다. 

보안 강화 과제는 행장 인사가 끝난 뒤에도 이어진다.

내년 보안예산은 현직 행장 체제에서 확대되지만 행장이 교체되면 후임자가 이를 집행한다. 현직 행장에게는 사고 이후 대응을 갖추는 일이, 차기 행장에게는 늘어난 투자를 실제 보안 강화로 이어가는 일이 중요한 경영 과제가 되는 셈이다.
 
4대 은행 관계자는 한 비즈니스포스트와 통화에서 “금융보안은 지속적 관리가 필요한 영역”이라며 “경영진 인사 등 조직 변화와 관계없이 기존 보안 정책과 대응체계를 일관되게 유지하고 고도화하는 게 중요하다”고 말했다. 전해리 기자