탈탈 털려야 보인다… 금융사 보안의 민낯

기사 소리로 듣기

다시듣기

글씨 크기 조절
글자크기 설정

닫기

글자크기 설정 시 다른 기사의 본문도 동일하게 적용 됩니다.
- 가
- 가
- 가
- 가
- 가
공유하기
공유

닫기
https://m.seoul.co.kr/news/economy/finance/2026/10/07/20261007029002
URL 복사
댓글
0

김예슬 기자

수정 2026-10-07 00:21

입력 2026-10-06 18:02

구글에서 서울신문 먼저 보기

금융 소비자 보호 막는 ‘보안 공백’

① 금융사 정보보호 의무공시 예외
② AI보안 대응은 제재 없는 권고
③ 책임·보완 강화법은 국회 계류
“정보 공개로 보안 투자 늘리게 해야”

금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다.

6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다.

이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다.

정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다.

AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다.

다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다.

금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다.

보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

김예슬 기자

세줄 요약