메뉴 보기
최근 금융권을 덮친 인공지능(AI) 해킹 공격으로 16개 금융회사에서 약 10만건의 개인정보가 유출(침해)된 것으로 확인됐다. 금융당국은 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계와 책임 범위를 명확히 하겠다고 밝혔지만, 세계일보 확인 결과 서울에 본사를 둔 저축은행의 60%가 CISO 정보를 공시하지 않았다. 현행법상 CISO를 공시하는 것이 의무가 아닌 데다 자산규모가 작은 곳은 일반직원에게 CISO를 맡기는 등 보안 분야에 소홀했던 경영 문화가 해킹 피해를 자초했다는 비판이 나온다.
14일 금융위원회에 따르면 신한은행 정보 유출 사고 전후로 사고 발생이 확인된 금융사는 총 16사로 파악됐다. 현재까지 확인된 정보 유출 규모는 약 10만건으로 유출된 정보는 성명, 연락처, 주민등록번호, 이메일 주소 등이었다.
업권별로는 은행 4곳(신한·국민·부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업체 2곳(PFCT·모우다), 전자금융업체 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회)이다.
금융회사들의 보안 관리 실태에서도 허점이 드러났다. 금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 보안 항목을 긴급 점검한 결과, 130곳에서 미흡한 사항이 발견됐다.
이번 연쇄 해킹 사태를 계기로 보안책임을 강화하기 위해 관리에 전반적인 책임을 지는 CISO를 경영공시에 의무적으로 포함하도록 법적으로 강제해야 한다는 지적이 나온다. 서울에 본사가 있는 저축은행 23개사가 올해 2분기 각사 홈페이지에 공시한 내용을 분석한 결과, 경영공시에 CISO를 미표기하거나 공시를 누락한 회사가 14개사로 전체의 60.9%에 달했다. 이 중에는 이번에 해킹으로 개인정보가 유출된 예가람저축은행과 웰컴저축은행도 포함됐다. 4대 금융지주 계열 저축은행 중 신한저축은행을 제외한 KB저축은행·NH저축은행·하나저축은행 3곳 역시 CISO 공시가 되지 않았다.
이는 전자금융거래법에 CISO 지정은 의무지만, 이를 공시하는 것은 의무로 규정하지 않은 탓이다. 경영공시는 금융소비자의 알권리를 위해서도 중요하지만, 보안 책임자의 존재·권한을 외부에 투명하게 밝히는 과정 자체가 최고경영진과 이사회로 하여금 보안 예산·조직을 가볍게 여기지 못하게 하는 ‘내부통제 장치’로 작동할 수 있다.
권헌영 고려대 정보보호대학원 교수는 “공시가 법적 의무가 되면 대표이사가 정보보호에 관심을 가지고 있지 않더라도 경쟁 회사와 공개된 내용을 비교하면서 신경을 쓰게 되므로 정보보안이 경영에 실질적인 영향을 끼칠 수 있게 된다”고 설명했다.
웰컴저축은행 관계자는 “과학기술정보통신부 주관 정보보호공시가 있어 (경영공시를) 따로 하지 않았다”고 했다. 그러나 과기정통부 주관 정보보호공시 역시 의무가 아니어서, 지금처럼 금융사가 공시를 누락하면 소비자들이 CISO 현황을 확인할 수 없다. 경영공시에도 의무적으로 CISO 현황을 공시해야 실질적인 보안책임을 강제할 수 있다.
KB저축은행 측은 “CISO를 겸임하는 임원이 있지만 경영공시에는 주로 맡은 업무만 표시했다”는 입장이다. 그러나 이는 이 금융회사 내부에서 정보보호를 부차적인 업무로 여기는 방증이라는 지적이다. 정보보호를 주요 경영 과제로 다뤘다면 공시 명단이나 담당 업무에서 소외될 리 없었기 때문이다.
전문가들은 이번 금융권 연쇄 해킹사고를 계기로 정보보호공시 제도 전반을 개편해야 한다고 지적한다. 권 교수는 “정보보호공시는 과기정통부가 맡고 일반 경영공시는 금융위·금감원이 맡으면서 기준이 달라 혼란스러운 상황”이라며 “공시 제도 전반에 대한 조율이 필요하다”고 말했다.
