[기자수첩] 혁신 외친 당국, 보안 책임은 은행 몫?

[한국금융신문 지다혜 기자] "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것."

이억원

이억원기사 모아보기 금융위원장이 지난 5일 전(全) 금융권 간담회에서 내놓은 경고다. 신한은행과 KB국민은행 등 주요 은행에서 고객정보 유출 사고가 잇따르자 금융회사의 책임을 강하게 질타한 것이다.

고객정보를 제대로 지키지 못한 은행이 비판받는 것은 당연하다. 그러나 사고가 반복되는 상황에서도 책임을 은행에 묻는 것만으로 충분한지는 의문이다.

공교롭게도 이 위원장이 해당 발언을 한 장소는 금융보안원이었다. 지난 9일 금융권의 사이버위협 대응과 보안 강화를 지원하는 금융보안원의 정보보호 상시평가 지원시스템에서 정보유출 사실이 확인됐다.

유출된 정보에 고객의 개인신용정보나 금융회사 시스템 구성도 등 핵심 보안정보는 포함되지 않았다는 것이 금융보안원의 설명이다. 피해 범위를 정확히 구분할 필요는 있지만, 금융권의 보안을 지원하는 기관에서 사고가 발생했다는 사실까지 가벼워지지는 않는다. 금융회사에 보안 강화를 요구하는 만큼 이를 뒷받침하는 관리·감독체계도 제대로 작동하고 있는지 돌아볼 필요가 있다.

은행의 책임은 무겁다. 고객은 금융서비스를 이용하려고 자신의 이름과 연락처, 신용정보를 맡긴다. 은행이 편리한 서비스를 제공하더라도 기본적인 정보보호에 실패한다면 그 편의는 신뢰를 대신할 수 없다.

최근 공격이 고객용 서비스뿐 아니라 직원용 업무시스템과 외부 접속 경로를 겨냥했다는 점도 눈여겨볼 대목이다. 고객이 직접 이용하지 않는 시스템이라도 정보가 연결돼 있다면 허술하게 관리할 이유가 없다. 은행의 보안 책임은 고객이 보는 서비스 화면에만 국한되지 않는다.

그렇다고 은행의 잘못을 지적하는 데서 논의를 끝내서는 안 된다. 금융당국은 그동안 인공지능(AI) 활용과 비대면 서비스 확산, 디지털 금융혁신을 적극 독려해 왔다. 은행들은 새로운 서비스를 선보이고 외부 시스템과의 연결을 확대하며 금융의 편의성을 높이는 데 속도를 냈다.

혁신 자체가 정보유출 사고의 원인이라는 뜻은 아니다. 다만 새로운 기술과 서비스가 확산할수록 보안위험도 복잡해지는 만큼 이를 통제할 감독체계 역시 함께 발전해야 한다. 금융당국이 혁신의 속도를 높이는 데 집중하는 동안 안전을 확인하는 기준도 그만큼 촘촘해졌는지는 따져볼 문제다.

금융위원회가 지난달 발표한 점검 결과는 이 질문을 더 날카롭게 만든다. 금융회사 등 555곳을 대상으로 실시한 체크리스트 점검에서 130곳이 일부 미흡사항을 보고했다. 최신 보안패치를 적용하지 않거나 24시간 보안관제체계를 갖추지 못한 사례, 인증·접근통제 관리가 미흡한 사례 등이 포함됐다.

첨단 해킹보다 기본 보안부터 미흡했다는 얘기다. 모두 은행 사례는 아니고 당국의 감독 실패를 단정할 수도 없다. 다만 취약점을 점검하고 개선 여부를 확인했는지 봐야 한다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com