해킹 위협 속 망분리 규제 완화…은행권, 핵심 과제 된 ‘보안’

5대銀 정보보호 투자 2000억 규모 집행
KB국민 투자액 1위·기업은 비중 1위
은행 넘어 그룹 차원 보안 대응 확대

금융권 망분리 규제 완화가 본격화되면서 은행권의 정보보호 투자 경쟁도 치열해지고 있다. 올해 주요 시중은행 5곳은 정보보호 부문에 총 2000억여원을 투입한다. 생성형 AI(인공지능)와 클라우드 서비스 등 금융 업무에 디지털 신기술 도입이 확산되면서 고객 정보 보호와 보안 체계 고도화가 핵심 경영 과제로 떠오른 영향이다. 이중 KB국민은행은 정보보호 투자 총액에서, IBK기업은행은 전체 정보기술 투자 대비 정보보호 투자 비중에서 각각 1위를 차지했다.

은행권의 보안 역량은 앞으로 더 중요해질 전망이다. 망분리 규제 완화로 디지털 혁신의 문은 넓어지고 있지만, 금융권을 겨냥한 해킹 시도가 여전히 지속되고 있는 데다 미토스(Mythos)와 같은 고성능 AI가 보안 취약점을 악용할 수 있는 새로운 위협으로 떠오르고 있어서다. 전문가들은 정보보호 공시를 확대해 금융사들의 보안 취약 지점을 파악하고, 동시에 취약점 정보를 공유할 수 있는 협력 체계도 마련해야 한다고 강조한다.

1일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 올해 KB국민·신한·하나·우리·IBK기업은행의 정보보호 부문 투자액은 1929억원으로 집계됐다. 이들 은행의 올해 정보기술(IT) 부문 투자액 2조1929억원의 약 9.0% 수준이다.

정보보호 투자액이 가장 큰 곳은 KB국민은행이다. 올해 정보보호 부문에 433억원을 투자한다. 전체 IT 투자액은 작년보다 300억원가량 줄었지만, 정보보호 투자액은 오히려 10억원 가까이 늘었다. 기업은행은 5개 은행 가운데 전체 IT 투자액 대비 정보보호 투자 비중이 유일하게 10%를 웃돌았다. 지난해 위협정보 수집 자동화와 보안취약점 점검 시스템 등 정보보호 체계 전반을 고도화한 데 이어 올해도 보안 강화 투자를 이어간 영향으로 풀이된다. 기업은행 관계자는 "디지털 금융보안 3대 혁신전략 수립 컨설팅을 통해 제로트러스트 기반 보안체계로 전환할 예정"이라고 말했다.

정보보호 전담 인력은 우리은행이 101명으로 가장 많았다. 작년(74명)과 비교하면 일 년 새 27명 늘어난 규모다. 우리은행 관계자는 "우리은행과 우리FIS 간 거버넌스 개편으로 지난해 FIS의 운영 인력이 은행으로 편입된 결과"라고 설명했다. 신한은행도 사이버테러 대응 체계를 강화하고 AI 보안 등 역량을 강화하기 위해 전담 인력을 7명 늘렸다.

최근 이들 은행의 보안 대응은 그룹 차원으로 확대되는 추세다. 과거에는 각 계열사가 개별적으로 보안 위협에 대응하는 방식이 주를 이뤘지만, 최근에는 그룹 공동의 보안 관제 체계를 구축해 대응 효율성을 높이고 취약점 정보를 계열사 간 공유하는 형태로 바뀌고 있다는 얘기다. KB금융의 경우 정보보호 공시 계열사 확대와 차세대 보안기술 확보 등을 추진하고 있고, 신한금융과 우리금융 역시 정보보호 로드맵에 따라 신기술을 활용한 보안관제 시스템 고도화에 나선다는 구상이다.

금융사들이 정보보호 강화에 촉각을 기울이는 배경에는 지난해 잇따른 금융권 해킹 사고가 있다. 약 300만명의 고객 정보가 유출된 롯데카드 사태를 비롯해 웰릭스에프앤아이대부, SGI서울보증 등 주요 금융사가 외부 사이버 공격 피해를 입으면서 소비자 불안이 커졌기 때문이다. 한국인터넷진흥원에 따르면 지난해 사이버 침해 사고 건수는 2383건으로 전년 대비 26.3% 급증했다. 이에 망분리 등 강도 높은 보안 규제가 적용돼 왔음에도 금융권이 고도화되는 해킹 위협에 제대로 대응하지 못하는 것 아니냐는 우려가 확산됐다.

은행권의 보안 리스크는 망분리 규제 완화로 더 커질 전망이다. 금융당국은 금융사들이 생성형 AI 등 신기술을 업무에 활용할 수 있도록 일부 규제 완화를 추진하고 있다. 다만 은행 내부망과 외부 인터넷망의 접점이 늘어난다면 해킹 위협에 노출될 가능성도 한층 커질 수 있다는 우려가 제기된다. 특히 미토스와 같은 고도화된 AI가 해킹과 보안 취약점 공격에 악용될 경우, 현재 수준의 정보보호 투자와 인력만으로는 보안 리스크에 대응하기 쉽지 않다는 지적이다.

염흥열 순천향대 정보보호학과 명예교수는 "금융사 스스로 위험평가를 강화하고 정보 중요도에 따라 망 개방 수준과 보안 통제를 차등화할 필요가 있다"며 "한 금융사에서 발견된 취약점은 다른 금융사에도 존재할 가능성이 큰 만큼, 금융권 전반이 협력해 사이버 보안 위협 정보를 공유하는 체계를 마련하는 것이 바람직하다"고 말했다.