[데스크칼럼] 금융권 해킹 반복, 이사회는 무엇을 감독했나

[경제일보] 금융권에서 해킹 사고가 잇따르고 있다. 은행과 저축은행에 이어 증권사와 자산운용사까지 공격 대상이 확대됐다. 금융회사들은 사고가 발생할 때마다 보안 강화와 재발 방지를 약속한다. 그러나 고객정보 유출과 전산망 침해 소식은 좀처럼 끊이지 않는다. 보안 시스템의 기술적 취약성뿐 아니라 이를 관리하고 감독하는 경영체계에도 눈을 돌려야 할 때다. 금융지주 이사회는 그동안 무엇을 점검했고, 어떤 위험을 보고받았는가.
 
금융감독원에 따르면 지난 14일 기준 은행·저축은행·상호금융·여신전문금융업 등 16개 금융회사에서 침해사고가 발생했다. 최근에는 금융투자업계에서도 피해가 확인됐다. 대신증권에서는 고객 3만8000여명의 개인·신용정보가 유출됐고, 미래에셋자산운용에서도 침해사고가 발생했다. 전자금융거래의 핵심 시스템뿐 아니라 영업지원 등 부수 시스템까지 공격 대상이 넓어지고 있다.
 
사이버 공격의 수법이 갈수록 정교해지는 것은 사실이다. 인공지능(AI)을 활용한 취약점 탐색과 자동화된 공격도 새로운 위협으로 떠올랐다. 그렇다고 모든 사고를 외부 공격자의 기술력 탓으로 돌릴 수는 없다. 침입을 완벽하게 차단하기 어렵더라도 조기에 발견하고 피해 확산을 막을 준비는 갖춰야 한다. 공격을 당했다는 사실과 피해를 줄이기 위한 관리체계가 충분했는지는 별도로 평가할 문제다.
 
이찬진 금융감독원장은 지난 28일 8대 은행지주 이사회 의장들과 만나 정보보안 투자와 대응체계 강화를 주문했다. IT 보안을 부수적인 업무로 여기거나 비용이라는 이유로 인력과 자원을 충분히 투입하지 않는 관행을 경계했다. 금융회사가 스스로 취약점을 찾아 개선하는 자율 방어체계도 강조했다. 감독당국이 실무부서가 아닌 이사회 의장들을 상대로 보안 문제를 제기했다는 점에 주목할 필요가 있다.
 
이사회는 최고경영자 선임과 배당 정책만 심의하는 기구가 아니다. 금융회사 전체의 위험을 감독하고 경영진의 판단을 견제하는 역할도 맡는다. 보안 역시 마찬가지다. 어느 계열사에 취약한 시스템이 남아 있는지, 외부 협력업체를 통한 정보 유출 가능성은 없는지 살펴야 한다. 사고 발생 시 피해가 다른 계열사로 확산될 위험도 점검 대상이다.
 
이사들이 기술적 세부 사항까지 직접 판단하라는 뜻은 아니다. 전문 조직의 위험 평가를 보고받고, 필요한 투자가 이뤄졌는지 확인하는 것이 중요하다. 외부 점검에서 취약점이 발견됐다면 개선 기한과 책임자를 명확히 해야 한다. 그 결과가 이사회에 다시 보고되는지도 살펴야 한다.
 
금융지주 이사회의 의사결정 구조 역시 돌아볼 대목이다. 금감원에 따르면 지난해 8대 은행지주 이사회가 처리한 의결 안건 993건 가운데 983건이 원안대로 통과됐다. 원안 가결률이 약 99%다. 수정 가결은 9건, 보류는 1건에 그쳤다. 높은 가결률만으로 이사회의 감독 기능이 부실했다고 단정할 수는 없다. 충분한 사전 검토를 거쳐 합의했을 가능성도 있다. 다만 경영진이 제시한 안건에 대해 얼마나 깊이 질문하고 검증했는지는 따져볼 필요가 있다.
 
보안 투자는 다른 사업과 성격이 다르다. 신규 고객 확보나 디지털 플랫폼 확대는 매출과 가입자 증가로 성과가 나타난다. 반면 보안은 사고가 발생하지 않으면 투자 효과를 눈으로 확인하기 어렵다. 단기 실적을 중시하는 경영환경에서 예산이 후순위로 밀릴 가능성이 있는 이유다. 이사회가 이러한 유인을 견제하지 못하면 보안은 언제든 비용 절감의 대상이 될 수 있다.
 
감독당국의 역할도 중요하다. 금융위원회는 전자금융 규제를 원칙 중심으로 개편하고 금융회사의 자율보안체계 강화를 추진해 왔다. 빠르게 변하는 사이버 위협에 대응하려면 금융회사 스스로 위험을 관리하는 능력이 필요하다. 다만 자율성 확대에는 그에 상응하는 책임이 따라야 한다. 감독당국은 보안 예산의 규모뿐 아니라 실제 취약점 개선과 사고 대응 역량을 점검해야 한다.
 
금융회사도 보안 수준을 이사회 차원에서 정기적으로 평가할 필요가 있다. 침해사고 대응훈련 결과와 취약점 개선 실적을 보고받고, 중요한 위험이 해소되지 않았다면 경영진에게 구체적인 조치를 요구해야 한다. 정보보호 수준을 경영진의 성과평가에 반영하는 방안도 검토할 만하다. 다만 사고 발생 건수만으로 책임을 묻는 방식은 경계해야 한다. 오히려 사고 보고를 숨기거나 늦추는 부작용을 낳을 수 있어서다. 위험을 얼마나 투명하게 관리하고 신속하게 바로잡았는지가 평가의 기준이 돼야 한다.
 
금융회사는 고객의 돈뿐 아니라 신용정보와 거래 내역까지 보관한다. 고객이 맡긴 정보가 안전하게 관리되지 않는다면 아무리 편리한 디지털 서비스도 신뢰를 얻기 어렵다. 보안 사고 이후 사과문을 발표하고 재발 방지를 약속하는 것만으로는 부족하다. 평소 위험을 찾아내고 필요한 투자를 결정하며 개선 여부를 확인하는 과정이 중요하다.
 
해킹은 외부에서 시작되지만 피해의 규모와 회복 속도는 금융회사의 준비에 따라 달라진다. 이사회가 보안을 IT부서의 업무로만 취급한다면 같은 문제가 반복될 가능성이 크다. 이제 금융권이 바꿔야 할 것은 보안 시스템만이 아니다. 고객의 신뢰를 지키는 일을 경영의 핵심 책임으로 받아들이는 이사회의 감독 방식부터 달라져야 한다.