[데스크칼럼]이익은 역대급, 보안은 뒷전

노경석 경제부장

숫자 두 개를 나란히 놓아 본다. 5대 금융지주의 올해 3분기 누적 순이익은 약 19조6천억원으로 역대 최대다. 반면 은행·증권 등 7개 금융업권의 정보보호 인력은 정보기술(IT) 인력의 9.6%(6월 말)에 불과하다. 2023년 말부터 지난해 말까지도 9.0%, 9.0%, 9.1%에 머물렀다. 이익은 역대급으로 불어났지만 고객의 돈과 정보를 지키는 인력은 여전히 10%의 벽을 넘지 못했다.

유비무환(有備無患)이라 했다. 금융 보안만큼 이 말이 절실한 분야도 없다. 사고가 터진 뒤 돈을 쓰는 것은 예방이 아니라 수습이다. 그런데 국내 금융사들은 이 단순한 원칙조차 제대로 지키지 못했다.

금융권은 이미 뚫렸다. 금융위원회에 따르면 9월 30일부터 11월 3일까지 37개 금융사에서 침해사고 40건이 신고됐다. 유출된 정보는 약 47만3천건이다. 고객의 금융정보와 개인정보를 지켜야 할 금융사에서 한 달여 동안 이 같은 사고가 잇따랐다. 금융 보안은 더 이상 전산부서의 업무가 아니다. 고객과의 신뢰를 지키는 금융사의 기본 책무다.

더 심각한 것은 예산을 대하는 태도다. 한 자료에 따르면 전산장애가 잦은 상위 20개 금융사는 지난해 정보보호 예산 4천380억원 가운데 69.6%만 집행했다. 5대 시중은행의 예산 집행률은 2023년 73.3%에서 2024년 69.5%, 지난해 67.0%로 해마다 떨어졌다. 편성하고도 쓰지 않은 예산이 늘어난 것이다.

예산을 집행하지 않은 데 그치지 않고 아예 줄인 금융사도 있다. 상위 20개 금융사 가운데 7곳은 올해 정보보호 예산을 삭감했다. 돈이 없어서 보안 투자를 못 한 것이 아니다. 편성한 예산조차 집행하지 않고, 이익을 내는 와중에도 보안 예산을 줄였다. 경영진이 무엇을 우선순위에 두고 있었는지 묻지 않을 수 없다.

위험을 몰랐던 것도 아니다. 금융보안원은 사고 약 2주 전인 9월 17일 세미나에서 금융사를 겨냥한 인공지능(AI) 에이전트 공격 사례를 공유했다. 금융위가 10월 14일 발표한 점검 결과에서는 대상 555곳 가운데 130곳에서 미흡 사항이 확인됐다. 신진창 금융위 사무처장은 기본이 지켜지지 않은 점을 "매우 뼈아픈 부분"이라고 했다. 경고도 있었고 점검 기회도 있었다. 그럼에도 기본적인 보안 체계조차 갖추지 못했다면 이는 기술의 문제가 아니라 경영의 실패다.

사고가 터지자 금융사들은 뒤늦게 지갑을 열었다. 5대 은행장은 국정감사에서 보안 예산 확대를 약속했다. 그러나 사고가 난 뒤의 예산 증액이 사고 이전의 안일한 대응을 대신할 수는 없다. 고객이 원하는 것은 사고 뒤의 보상과 사과가 아니라 애초에 사고가 발생하지 않는 금융 환경이다.

고객은 금융사의 보안 수준을 미리 확인할 수도, 직접 선택할 수도 없다. 금융사는 고객의 돈과 정보를 맡아 수익을 얻는다. 그만큼 보호 책임도 무겁다. 금융당국의 점검표와 은행장의 증액 약속만으로는 부족하다. 내년에 확인해야 할 것은 발표한 예산이 아니라 실제 집행률이고, 채용 계획이 아니라 정보보호 인력 비중이다. 사고 재발 여부와 고객 피해를 줄였는지도 따져야 한다.

유비무환은 금융사가 가장 먼저 새겨야 할 경영 원칙이다. 역대급 이익을 거두면서도 보안을 뒷전으로 미뤘다면 그 책임은 사고가 발생한 뒤가 아니라 경영진의 선택에서 찾아야 한다. 정보보호는 번 만큼 쓰는 돈이 아니라, 잃을 수 있는 만큼 써야 하는 돈이다.