5대 은행장 전원 증언대로…보안 구멍·CEO 책임 ‘맹공ʼ [포스트 2026 국감]

[한국금융신문 장호성 기자] 주요 시중은행의 연쇄 정보유출 사고가 5대 은행장을 국정감사 증언대로 불러낸다.

금융위원회 국감에서 사전 경고에도 취약점 관리가 제대로 이뤄지지 않았다는 지적이 나온 만큼, 은행권에는 외부 업무시스템의 보안 사각지대를 해소하고 재발방지 대책의 이행을 검증해야 하는 과제가 남았다.

은행들이 보안 투자와 전문인력 확충에 나선 가운데 금융지주와 이사회가 개선 과정에 얼마나 관여할지도 관심사다. 정보보호최고책임자(CISO)가 파악한 위험이 시스템 개선과 예산 집행으로 이어지도록 실질적인 의사결정 구조를 점검해야 한다는 것이다.

이 같은 과제는 연말 은행장 인선과도 맞물린다. 금융지주들이 은행 임원후보추천위원회(임추위)의 권한을 확대하는 방향으로 승계 절차를 손질한 상황에서, 재무성과와 함께 보안·내부통제의 실행력을 어떻게 검증할지가 쟁점으로 떠올랐다.

5대 은행장 국감行…이억원 “굉장히 미흡” 질타

이환주닫기이환주기사 모아보기 KB국민은행장, 정상혁닫기정상혁기사 모아보기 신한은행장, 이호성닫기이호성기사 모아보기 하나은행장, 정진완닫기정진완기사 모아보기 우리은행장, 강태영닫기강태영기사 모아보기 NH농협은행장은 19일 금융감독원 국감에 증인으로 출석하게 됐다. 정무위원회는 지난 8일 이들을 ‘금융권 해킹 사고 문제 점검’을 위한 증인으로 추가 채택했다. 5대 은행장 전원이 국감 증인으로 채택된 것은 2022년 이후 4년 만이다.

이번 연쇄 해킹사고에서는 외부 업무시스템의 보안관리 문제가 드러났다.

신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원시스템, 하나은행의 영업지원시스템 등이 정보유출 경로로 지목됐다. 대출모집인과 임직원 등이 업무상 사용하는 외부 접점까지 보안관리 범위를 넓혀야 한다는 지적이 나오는 이유다.

앞서 금융위 국감에서 제기된 지적도 사전 대응의 이행 여부에 집중됐다. 한창민 사회민주당 의원은 금융보안원이 외부 시스템과 API의 취약점 점검을 이미 강조했는데도 대응요령이 제대로 이행되지 않았다고 지적했다. 이억원닫기이억원기사 모아보기 금융위원장은 “우리의 대응 방식은 아주 기본적인 부분도 굉장히 미흡했다”며 점검과 개선 필요성을 인정했다.

당국은 외부에 노출된 전산자산과 서비스를 빠짐없이 식별하고, 업무에 불필요한 외부 접근과 개인정보 조회를 최소화하도록 주문했다. 위탁업체와 대출모집인이 사용하는 시스템에서 인증을 우회할 수 있는 경로가 있는지도 점검 대상이다. 금융위는 취약점 분석·평가 주기 단축, 점검범위 확대, 보완조치의 이행을 강제할 수단 강화 등을 추진한다고 밝혔다.

각 은행들은 정보유출 사고 이후 후속대책을 기발표한 상태다. KB국민은행은 내년 정보보호 예산을 1000억원 이상으로 편성하고, 올해 약 51억원 규모의 AI 위협 대응사업을 연내 완료한다는 계획이다. 신한은행은 내년 보안예산을 업계 최고 수준으로 편성하는 방안을 검토하면서 외부 전문가 점검을 상시계약으로 전환하고 전사적인 위협 탐지·대응체계 확대를 추진한다.

하나은행은 수백억원 규모의 보안체계 보강을 추진하며 추가 탐지·분석 사업을 올해 4분기부터 내년 1분기 사이에 착수할 계획이다. 우리은행은 내년 보안예산을 올해보다 20% 이상, 전문인력을 현재보다 10% 이상 늘리는 방안을 검토하고 웹·앱 전수점검을 11월 말까지 마칠 예정이다. NH농협은행도 연내 서버 위협 탐지·대응 도구 도입과 내년 관제 고도화 등을 추진한다.

다만 상당수 사업이 올해 말이나 내년에 완료·착수할 계획인 만큼 그전까지 취약점을 관리할 조치가 필요하다. 중단한 서비스의 재개 조건, 보완 결과의 재검증, 미완료 사업의 책임자와 기한이 재발방지 대책의 실효성을 판단할 기준이 될 것으로 보인다.

당국도 이행 여부 확인에 나섰다. 금융위는 지난 14일 오후 신진창 사무처장 주재로 관계기관이 참여하는 ‘제2차 긴급 상황대응 회의’를 열었다. 지난 8일까지 금융회사 555개사를 대상으로 진행한 12개 항목의 자체점검에서는 130개사가 미흡사항을 보고했다.

금융위는 금융회사 보안체계와 관리시스템 전반에 대한 전수점검을 추진하기로 했다. 외부접점 관리와 관련한 최고경영자(CEO), 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임범위도 명확히 하도록 지도·감독할 방침을 밝혔다.

내부통제 운영지침 경영진 책임 판단

은행장들의 국감 출석은 보안 실무와 경영진의 관리 책임을 함께 점검하는 계기가 될 전망이다. 정무위 내부에서는 당초 실무 전문성이 높은 CISO를 증인으로 부르는 방안도 검토했으나 위중함을 고려해 은행장을 소환하기로 한 것으로 전해졌다. 보안부서가 취약점을 발견한 이후 시스템 개선과 예산 배분을 결정하는 경영진의 역할까지 살펴보겠다는 취지다.

은행과 지주가 확인해야 할 부분은 위험보고 이후의 처리 과정이다. CISO가 개선을 요구했을 때 담당부서가 어떤 기한과 절차에 따라 조치하는지, 미해결 취약점이 은행장과 이사회에 보고되는지, 최종 보완 결과를 누가 검증하는지 등을 구체화할 필요가 있다는 것이다. 보안·개인정보·외주업무 관리 책임을 배분한 책무구조도와 실제 업무 과정의 연결도 점검 대상이다.

금융위의 내부통제 제재 운영지침은 임원의 책무와 관리조치 이행 내용을 확인하고, 상당한 주의 수준과 사후 수습노력 등을 고려하도록 하고 있다. 사전에 위험을 파악하고 필요한 조치를 취했는지, 사고 이후 자체 시정과 피해 회복을 어떻게 수행했는지에 대한 기록이 경영진 책임을 판단하는 자료가 된다.

투자 확대 발표와 함께 실제 사업 집행도 검증해야 할 대상이다. 정무위 소속 박성훈 국민의힘 의원이 금융당국에서 제출받은 자료에 따르면 우리은행의 지난해 보안예산 집행률은 53.8%에 불과했던 것으로 나타났다. 이와 관련해 우리은행 측은 대규모 사업대금의 단계별 지급과 클라우드 전환에 따른 비용구조 변화를 이유로 해명했다.

금융지주 차원의 관리도 요구된다. 금융위는 이미 지난 6월 5대 금융지주와의 간담회에서 지주 차원의 모의해킹·위기대응 역량 확충, 계열사 전산자원 관리와 신속한 보안 패치를 주문했다. 은행·카드·보험·증권 등 계열사가 공통 점검기준을 적용하고, 취약점 조치와 미완료 사항을 지주가 통합적으로 확인하는 체계의 작동 여부가 후속 과제다.

보안 검증까지, 막중해진 임추위 역할

이 같은 보안과 내부통제의 실행력은 연말 CEO 검증에서도 주목받을 전망이다. 5대 은행장의 임기는 모두 올해 말 만료된다. 금융지주들은 은행장 후보 추천과 검증 과정에 은행 임추위의 참여를 확대하는 방향으로 승계 절차를 개편하고 있다.

금감원은 지난달 자회사 CEO의 자격요건이 추상적이고 후보 압축 과정의 검증기간이 부족한 사례 등을 지적했다. 상시후보군 관리와 자회사 임추위 역할을 강화하고 후보 선정·검증·평가·기록의 공정성과 투명성을 높이라는 요구다. 이번 국감 이후에는 그 절차가 실제 후보 평가에 어떻게 적용되는지가 중요해진다.

현재 각 금융지주들이 공개한 지배구조 개편안은 주로 후보 추천과 검증 절차에 집중돼 있다. 금융당국은 이 같은 절차에 보안·내부통제 성과를 평가표의 어떤 항목과 비중으로 반영할지는 추가 검증이 필요하다고 주문한 상태다. 경영진이 사전 경고를 받은 뒤 취한 조치, 필요한 투자와 인력의 확보, 사고 인지·보고·고객 통지의 적절성, 재발방지 대책의 이행 여부를 함께 살펴볼 기준을 구체화해야 한다는 것이다.

은행장들이 국감에서 제시할 개선 약속은 연말 후보 검증과 내년 예산 집행 과정에서 다시 평가받을 것으로 보인다. 확대된 임추위가 재무성과와 함께 보안·내부통제의 실제 이행을 확인할 수 있는지가 이번 승계 절차의 관전포인트가 될 전망이다.

장호성 한국금융신문 기자 hs6776@fntimes.com