[단독]전 금융권 정보보호 불감증 여전…IT보다 보안예산 집행률 낮아

[구멍 난 금융보안]①
올 상반기 IT 예산 집행률 40.1%…정보보호는 35.7%
집행률 격차 2022년 1.2%P→지난해 4.8%P로 확대
AI·슈퍼앱 등 디지털 경쟁 가속…"상시·사전 예방 보안체계 구축해야"

전 금융권에서 해킹과 고객정보 유출 등 보안 사고가 잇따르며 금융당국이 내부통제 강화에 나서고 있지만, 정작 금융회사들의 정보보호 예산 집행률은 전체 정보기술(IT) 예산 집행률보다 낮은 것으로 나타났다. IT 예산과 정보보호 예산의 집행률 격차는 2022년 1.2%포인트에서 지난해 4.8%포인트까지 벌어졌다. 인공지능(AI)과 모바일 플랫폼 등 디지털 신사업 경쟁이 가속화하는 만큼 고객정보와 금융자산을 지키기 위한 보안 투자와 관리체계도 함께 강화해야 한다는 지적이 나온다.

금융기관 해킹을 수사당국이 수사하는 장면을 표현한 이미지. 아시아경제 DB

6일 국회 정무위원회 소속 김재섭 국민의힘 의원이 금융감독원으로부터 제출받은 '최근 5년간(2022~2026년 상반기) 금융권 정보보호 예산 및 인력 현황'에 따르면 올해 상반기 전 금융권 34개사의 IT 예산 집행률은 평균 40.1%인 반면 정보보호 예산 집행률은 35.7%에 그쳤다. 정보보호 예산 집행률이 전체 IT 예산 집행률보다 4.4%포인트 낮았던 셈이다.

올해 상반기 정보보호 예산 집행률을 업권별로 보면 손해보험이 41.5%로 가장 높았고 증권 38.2%, 은행 36.1%, 카드 31.7%, 생명보험 29.7% 순이었다.

회사별로는 한화생명 (19.1%), KB증권(21.5%), KB국민카드(21.9%), 신한카드(24.9%), KB국민은행(27.1%), 대신증권 (27.4%), 롯데카드(27.6%), BC카드(27.7%), KB손해보험(28.8%) 등이 전 금융권 평균치(35.7%)를 밑돌았다.

시계열을 넓혀 보면 정보보호 예산 집행률이 IT 예산 집행률을 밑도는 흐름은 더욱 선명해진다. 전 금융권 IT 예산 집행률은 2022년 82.5%, 2023년 81.6%, 2024년 79.8%, 지난해 83.6%였다. 같은 기간 정보보호 예산 집행률은 각각 81.3%, 79.0%, 75.6%, 78.8%였다.

특히 두 예산의 집행률 격차는 매년 벌어졌다. 2022년 1.2%포인트였던 격차는 2023년 2.6%포인트, 2024년 4.2%포인트, 지난해 4.8%포인트로 확대됐다. 올해 상반기에도 IT 예산 집행률은 40.1%, 정보보호 예산 집행률은 35.7%로 4.4%포인트 차이가 났다. 상반기 수치를 연간 집행률과 직접 비교하기는 어렵지만 정보보호 예산 집행 속도가 전체 IT 예산에 미치지 못하는 현상은 올해도 이어지고 있는 셈이다.

이 같은 격차는 금융권의 디지털 전환 경쟁이 한층 빨라지고 있다는 점에서 주목된다. 금융사들의 IT 예산은 정보보호 분야뿐 아니라 ▲AI 챗봇 ▲신용평가시스템(CSS)용 머신러닝 ▲마이데이터 ▲모바일 슈퍼앱 ▲오픈뱅킹 ▲보험 AI 언더라이팅(인수심사) ▲간편결제 플랫폼 ▲증권사 모바일트레이딩시스템(MTS) 등 디지털 경쟁력과 영업에 직결되는 다양한 분야에 투입되고 있다.

디지털 신사업 투자 자체가 문제는 아니다. 다만 금융서비스의 디지털 의존도가 높아질수록 보안 사고의 파급력도 커질 수 있다. 해킹이나 개인정보 유출이 단순한 전산 장애를 넘어 고객의 금전적 피해와 금융회사에 대한 신뢰 훼손으로 직결될 수 있는 만큼 신사업 투자와 보안 투자의 균형이 필요하다는 지적이다.

전문가들은 단순히 예산을 늘리는 데 그쳐서는 안 되며 상시적이고 사전 예방적인 보안체계를 구축해야 한다고 강조했다. 염흥열 순천향대 정보보호학과 교수는 "정보 시스템의 취약점을 상시로 확인하고 보안 대책을 수립·개선하는 위험 평가 기반 보안 관리체계 구축이 중요하다"며 "금융사는 정보보호 인력 확보와 투자 증대를 통해 상시적 보안 관리체계를 근본적으로 개선해야 한다"고 조언했다.

염 교수는 "사전 예방 체계는 궁극적으로 '제로 트러스트(Zero Trust·아무도 믿지 않는다)' 기반의 보안 관리체계를 구축하는 것"이라며 "내부망에 해커가 침투했다고 전제하고 모든 접근을 철저히 검증해야 하며 특히 금융권은 사고 발생 직후 즉각적인 금전적 손실을 초래할 수 있어 타 업종보다 높은 수준의 보안 관리체계가 필수적"이라고 강조했다.

경영진의 인식 전환도 과제로 꼽힌다. 현행 전자금융감독규정 제8조 제2항은 "금융회사 또는 전자금융업자는 정보기술 및 정보보호 분야별 전문성을 갖춘 인력과 충분한 예산을 확보해야 한다"고 규정하고 있다. 전문가들은 사고가 발생한 뒤 인력과 예산을 보강하는 사후 대응 방식에서 벗어나 평상시 취약점을 점검하고 위험을 선제적으로 차단하는 체계를 갖춰야 한다고 지적한다.

채상미 이화여대 경영학부 교수는 "금융사고를 방지하기 위해 감독당국이 규제 문턱을 높이는 것보다 기업이 실질적인 사고 방지 노력을 기울이는 것이 바람직하다"며 "이를 위해서는 경영진의 적극적인 관심과 주도적인 참여가 절실하다"고 제언했다.

문채석 기자 chaeso@asiae.co.kr