[한국공공정책신문=김유리 기자] 고객은 금융회사에 돈만 맡기는 것이 아니다.자신의 정보와 일상의 기록,나아가 거래의 안전에 대한 믿음까지 맡긴다.개인정보 유출을 단순한 전산장애로 치부하거나 당장 금전적 피해가 확인되지 않았다는 이유로 가볍게 넘겨서는 안 되는 이유다.
지난 10월 28일 대신증권에서 고객 3만 8,490명의 개인·신용정보가 유출된 사실이 밝혀졌다.비슷한 시기 빗썸의 임직원 정보 유출과 미래에셋자산운용의 일부 업무용 시스템 침해 사실도 잇따라 드러났다.회사마다 유출 경로와 범위는 다르지만,국민의 자산과 직결된 금융권 곳곳에서 잇달아 보안 허점이 노출됐다는 사실은 무겁게 받아들여야 한다.
사고가 터질 때마다 금융회사들은 고개를 숙이고 재발 방지를 약속한다.그러나 지금 필요한 것은 천편일률적인 사과문이 아니다.보안에 소홀하면 경영진이 책임을 지고,예방에 투자하면 그 성과가 정당하게 평가받는 지배구조를 만드는 일이다.이제 해킹 대책의 무게중심을 단순한 장비 확충에서 경영책임과 실질적 검증,그리고 소비자 보호를 하나로 묶는 제도개혁으로 옮겨야 한다.
보안을 전산부서가 아닌 이사회와 경영진의 책무로
보안 담당 임원을 두는 것만으로 기업의 책임이 끝나지는 않는다.현행 「전자금융거래법」은 이미 금융회사 등에 정보보호최고책임자(CISO) 지정을 의무화하고 보안 전략 수립과 예산 편성,사고 예방 업무를 맡기고 있다.자리만 늘리는 것보다 기존 책임자가 실질적인 권한과 예산을 갖고 일할 수 있는 환경을 만드는 것이 훨씬 중요하다.
특히 개정 「금융회사의 지배구조에 관한 법률」에 따라 금융권에 순차 도입되고 있는 ‘책무구조도’와 정보보안을 유기적으로 결합해야 한다.이사회가 보안예산 총액만 보고받고 손을 털어서는 안 된다.중대한 보안 취약점이 왜 해결되지 않았는지,사고 발생 시 얼마 만에 서비스를 정상화할 수 있는지 정기적으로 따져 물어야 한다.정보보호책임자가 중대한 위험을 이사회에 직접 보고하고,이에 대한 경영진의 조치 내역이 기록으로 남도록 내부통제 시스템을 작동시켜야 한다.
경영진 평가와 보수 산정에도 보안 개선 실적을 반영할 필요가 있다.다만 사고 발생 여부만으로 책임을 물으면 오히려 사고 은폐를 부추길 수 있다.위험을 얼마나 빨리 찾아내 보고했는지,지적된 취약점을 실제로 고쳤는지,피해자 보호에 얼마나 신속히 나섰는지를 종합적으로 살펴 권한과 주의의무 위반에 상응하는 책임을 물어야 한다.
서류상 점검표보다 실제 방어능력을 검증해야 한다
금융당국이 지난 10월 14일 발표한 금융권 555개사 자체 점검 결과를 보면,130개사에서 기본적인 관리 부실이 드러났다.최신 보안 업데이트를 미루거나 기술지원이 끝난 노후 시스템을 방치하고,실시간 관제와 외부 접속 통제를 소홀히 한 곳이 적지 않았다.고도화된 해킹 기법을 탓하기 전에 기본 수칙부터 제대로 지키고 있는지 돌아봐야 할 시점이다.
더욱이 최근 금융당국이 생성형 인공지능(AI)과 클라우드 활용을 넓히기 위해 ‘금융권 망분리 개선 로드맵’을 추진하면서,물리적 망분리에 기대왔던 기존 보안 체계는 근본적인 시험대에 올랐다.외부와의 연결 통로가 넓어지는 만큼 감독방식도 서류 제출 위주의 형식적 점검에서 벗어나 실제 작동 여부를 확인하는 ‘자율보안·결과책임’ 체계로 바뀌어야 한다.
위험도가 높은 시스템을 중심으로 독립적인 모의침투시험을 정례화하고,침입 탐지·차단에 걸린 시간과 실제 복구훈련 결과를 핵심 평가지표로 삼아야 한다.내부망에 접속했다는 이유만으로 신뢰하지 않고 사용자와 기기,접근권한을 끊임없이 확인하는 ‘제로 트러스트(Zero Trust)’ 원칙을 비대면 계좌개설부터 위탁업체 접속 경로까지 빈틈없이 적용해야 한다.아울러 업무에 불필요한 개인정보는 수집 단계부터 줄이고,업무를 외주화하더라도 보안관리 책임까지 외주화해서는 안 된다.
피해자 보호는 조사 종료 후가 아니라 사고 직후부터
유출 사고가 난 뒤 고객에게 주의를 당부하는 안내 문자 한 통 보내는 것으로 기업의 도리를 다했다고 볼 수는 없다.최근 보이스피싱과 명의도용 범죄가 교묘해지면서 금융당국은 여신거래와 비대면 계좌개설,오픈뱅킹 등을 사전에 막는 ‘안심차단 서비스’를 운영하고 있다.관건은 이러한 보호수단을 사고 직후 실제 피해자에게 얼마나 빨리 연결하느냐다.
필자는 사고를 낸 금융회사가 끝까지 책임지는 ‘유출 피해자 묶음지원’을 제안한다.유출된 정보 항목과 예상되는 위험을 고객에게 알기 쉽게 설명하고,고객 동의를 거쳐 안심차단 신청과 이상거래 확인,계정 보호,피해 상담을 한 창구에서 지원하는 방식이다.디지털 기기 사용이 익숙지 않은 고령층 등에게는 전화와 창구 대면 지원을 병행해야 한다.피해자인 고객이 여러 기관을 전전하며 같은 설명을 되풀이하게 만들어서는 안 된다.
사후 구제의 문턱도 낮춰야 한다.현행 「개인정보 보호법」은 법 위반 시 전체 매출액 기준 최대 3%(위반행위와 무관한 매출액 제외)까지 과징금을 부과할 수 있도록 제재를 강화했고,최대 300만 원의 법정손해배상 청구 제도와 함께 기업이 고의나 과실 없음을 스스로 입증하도록 책임을 지우고 있다.감독당국과 분쟁조정기구는 이 제도가 법조문에만 머물지 않도록 공통 피해 유형에 대한 구제기준을 구체화하고,기업이 가진 사고 자료가 적법한 절차를 통해 피해 입증에 쓰일 수 있도록 뒷받침해야 한다.
공동방어와 감독당국의 후속 책임이 신뢰를 좌우한다
금융당국이 추진하는 금융권 위협정보 공유 확대와 중소형 금융사 공동 보안관제 지원 역시 선언에 그쳐서는 안 된다.누가 언제까지 실행하고 그 효과를 어떻게 검증할지 구체적인 시간표가 나와야 한다.투자 여력이 부족한 중소형 금융회사에는 공동관제와 전문인력,합동 모의훈련을 적극 지원하되,위협정보를 공유하는 과정에서 고객 정보나 핵심 보안설계가 새어나가지 않도록 정교한 통제장치를 갖춰야 한다.
감독당국 또한 점검을 지시한 것으로 할 일을 다했다고 생각해서는 안 된다.중대한 지적사항은 개선기한과 담당 책임자를 지정해 끝까지 추적하고 실제 이행 여부를 확인해야 한다.문제를 방치하거나 숨기는 기업은 엄중히 문책하되,위험을 스스로 찾아내 신속히 신고하고 성실히 고친 기업에는 제재 감경 등 합리적인 유인을 제공해야 한다.문제를 숨기는 기업보다 드러내고 고치는 기업이 불이익을 받는 구조에서는 보안이 뿌리내릴 수 없다.
금융보안은 아껴도 되는 비용이 아니라 고객과의 계약을 지키는 기본 책무다.이제 금융회사와 감독당국은 고객에게 알아서 조심하라고 당부하는 수준을 넘어,고객이 마음 놓고 거래할 수 있는 안전한 체계를 실질적인 성과로 증명해야 한다.
▷법학박사, 선진사회정책연구원 원장
▷(사)한국공공정책학회 부회장, 상임이사
▷(전)국민대학교 행정대학원 외래교수
▷(전)서울특별시의회 전문위원
<저서> 지방의회 운영 실무 (2026년), 여성과 법률 등 다수
){kind=small}
){kind=small}
){kind=small}
){kind=small}
