보안점검에도 잇단 정보 유출···민낯 드러낸 금투업계

금융사 555곳 자체점검···130곳 미흡 사항 보고

증권업권 보안예산 비중 최저···CISO 11명 겸임

'보안점검을 마쳤다'는 말은 '고객정보가 안전하다'는 뜻일까. 금융당국의 요청으로 금융회사 555곳이 지난 8일까지 자체 보안점검을 끝냈다. 그러나 점검이 끝난 뒤 증권사와 자산운용사에서 정보 유출 사실이 잇따라 확인됐다. 점검을 마친 것과 고객정보를 안전하게 관리하는 것은 다른 문제다.

대신증권은 고객 3만8490명의 개인·신용정보가 유출됐다고 밝혔다. 지난 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 비정상적인 접근 징후를 발견한 뒤 정밀조사를 거쳐 확인된 사고다. 미래에셋자산운용도 일부 업무용 웹 시스템에서 정보가 유출됐다. 다만 일반 투자자 정보는 포함되지 않았다는 입장이다.

두 회사의 최초 침해 시점과 기존 점검 결과가 확인되지 않아 이번 사고를 앞선 보안점검의 실패로 단정할 수는 없다. 다만 정보 유출이 확인된 곳은 핵심 거래시스템이 아닌 외부와 연결된 업무 시스템이었다. 고객정보를 지키려면 거래시스템뿐 아니라 주변 업무 시스템까지 살펴야 한다는 점을 보여준다.

눈여겨볼 대목은 금융회사들이 스스로 보고한 점검 결과다. 전체 555곳 중 130곳이 보안 관리에 미흡한 사항이 있다고 보고했다. 금융투자업권에서는 77곳 중 19곳에서 문제가 확인됐다. 이들이 보고한 미흡 사항은 모두 27건이다. 보안패치와 지원 종료 제품 관리가 15건으로 가장 많았고 관제체계 운영 11건, 외부에 노출된 시스템 등을 관리하는 공격표면 관리 1건이 뒤를 이었다.

금융당국도 대응에 나섰다. 미흡 사항을 보고한 회사들이 보완조치를 시행하도록 지도·감독하고 있으며 보안체계 전수점검과 취약점 평가 강화도 추진 중이다. 추가 침해사고가 확인된 뒤에는 금융감독원이 현장점검에 나섰고 청와대도 긴급회의를 열었다.

그러나 새로운 점검 계획만큼 중요한 것은 기존 조치가 실제로 이행됐는지 확인하는 일이다. 금융투자업권에서 미흡 사항을 보고한 19곳은 어떤 조치를 마쳤고 무엇을 아직 개선하지 못했을까. 금융당국은 보완을 지도하고 있다는 설명에서 한 걸음 더 나아가 이행 현황도 보여줄 필요가 있다.

증권사 경영진도 책임에서 자유로울 수 없다. 강민국 국민의힘 의원이 금융감독원으로부터 제출받은 자료에 따르면 올해 6월 말 기준 증권업권의 정보보호 예산은 3276억원으로 전체 IT 예산의 10.9%였다. 조사 대상 7개 금융업권 중 가장 낮은 비중이다. 정보보호최고책임자(CISO) 29명 가운데 11명은 다른 업무를 겸임하고 있었다.

물론 예산 비중이 낮거나 책임자가 다른 업무를 맡고 있다는 이유만으로 개별 증권사의 보안이 취약하다고 판단할 수는 없다. 문제는 취약점이 발견된 다음이다. 이를 해결할 인력과 예산을 확보하지 못한다면 점검을 반복해도 개선은 더뎌질 수밖에 없다. 보안 담당자가 문제를 찾아내는 것과 경영진이 이를 해결하도록 지원하는 것은 다른 일이다.

증권사들은 모바일트레이딩시스템(MTS)과 홈트레이딩시스템(HTS)의 편의성을 높이고 인공지능(AI)을 활용한 투자 서비스를 확대하고 있다. 투자자가 더 편리하게 거래하도록 만드는 것도 중요하다. 그러나 그 서비스를 이용하기 위해 맡긴 개인정보를 안전하게 지키는 일은 그보다 앞서야 한다.

이제 금융당국은 금융회사들이 보고한 미흡 사항을 얼마나 해결했는지 확인하고 그 결과를 설명해야 한다. 경영진은 필요한 인력과 예산을 확보해 보완 작업을 끝까지 책임져야 한다. 투자자가 듣고 싶은 것은 '점검을 마쳤다'는 말이 아니라 '발견된 문제를 고쳤다'는 답이다.