[서울=뉴스핌] 전미옥 기자 = 최근 이어진 해킹사고에 대응해 대폭 강화하기로 한 금융권 보안점검 조치에 대해 업무부담 과중과 실효성 우려가 이어지자 금융당국이 점검 근거 확인과 현장 검사 등을 통해 실효성을 확보하겠다고 밝혔다. 

6일 금융권에 따르면 금융위원회는 전날 '전(全) 금융권 보안체계 혁신방안'을 발표하고 약 580개 금융회사와 전자금융업자 등을 대상으로 외부접점 및 내부통제 체계 전수점검에 나선다고 밝혔다.

먼저 보안 점검은 금융회사가 자체적으로 조사한 뒤 결과를 제출하는 방식으로 진행된다. 금융감독원과 금융보안원은 점검 내용이 부실하거나 중대한 취약점이 확인된 경우 현장점검에 나선다. 금융회사는 이달 말까지 기존 관리대장에 등록된 외부접점을 점검하고 다음 달 말까지 전체 외부접점 및 내부통제 체계에 대한 전수조사를 마쳐야 한다.

정기 점검도 강화된다. 금융회사의 보안취약점 분석·평가 주기를 기존 연 1회에서 2회로 늘리고, 2028년부터 전체 금융권으로 확대할 계획이다.

그러나 일각에서는 금융회사의 자체점검에 우선 의존하는 방식을 두고 실효성에 대한 우려가 제기됐다. 최근 금융권 해킹사고가 기존 보안점검에서 발견하지 못한 취약점을 통해 발생한 만큼 점검 횟수와 범위를 확대하는 것만으로는 한계가 있다는 지적이다. 자체 점검 외의 독립적인 검증체계가 필요하다는 것이다. 

황석진 동국대 국제정보보호대학원 교수는 "최근 금융권 해킹사고가 기존 점검에서 놓친 외부 연결 서버나 API, 관리자 권한 등의 취약점을 통해 발생한 만큼 문제는 점검 횟수보다 점검의 깊이와 취약점 개선 여부에 있다"며 "자체점검 결과를 독립적으로 검증하는 체계를 마련해야 한다"고 피력했다.

그러면서 "고위험 금융회사와 외부접점에 대해서는 불시점검이나 실전 모의침투 훈련을 실시하고, 취약점이 실제로 개선됐는지 사후 검증을 강화할 필요가 있다"고 덧붙였다. 

정보보호에 대한 경영진의 보안책임 강화 조치와 더불어 객관적인 성과지표 마련이 필요하다는 점도 지적됐다. 황 교수는 "경영진의 책임을 강화하는 것만으로 보안 인력과 예산이 충분히 확보되는 것은 아니고 오히려 책임을 피하기 위한 형식적인 보고와 문서 관리가 증가할 가능성도 있다"며 "보안 투자 규모와 취약점 개선률, 사고 대응 훈련, 최고정보보호책임자(CISO)의 실질적 권한 등을 객관적인 성과지표로 반영해야 한다"고 피력했다.

금융권에서는 금융당국의 보안 강화의 방향성에 공감하면서도 점검 범위와 횟수 확대에 따른 인력·예산 부담이 적지 않을 것으로 보고 있다. 기존 정보보호 업무에 더해 외부접점 전수조사와 내부통제 점검, 취약점 보완 등의 업무가 추가되는 만큼 전문인력 확보가 과제로 떠오른 것이다.

한 시중은행 정보보호 담당 임원은 "업무부담이 높아져 추가로 필요한 구체적 인력과 예산을 검토하고 있다"며 "현실적으로 당장 충분한 인력 수급이 쉽지 않은만큼 내부 업무 효율화를 병행할 방침"이라고 말했다.

또 다른 시중은행 관계자는 "인력과 예산 확대 필요성을 내부에서도 인식하고 있고 부담이 적지 않은 것도 사실"이라며 "구체적인 운영방안을 검토하고 있다"고 했다.

이 외에도 금융위의 망분리 규제 전면해제 추진과 관련해서는 정부 차원의 AI모델 개발 등 기술적 기반 지원이 절실하다는 목소리도 있다. 관련해 금융위는 이달 중 망분리 규제 전면해제 태스크포스(TF)를 발족하고 내년 1분기까지 AI 기반 대체 보안체계 마련을 추진할 계획이다.

앞서 언급한 정보보호 담당 임원은 "AI를 활용한 공격에 대응하려면 금융회사도 AI 모델을 활용할 수 있어야하는데, 해외 AI 모델은 데이터 전송과 비밀유지 계약 등에 따른 부담이 있다"며 "중장기적으로는 국내에서 개발한 보안 특화 AI 모델을 금융기관이 활용할 수 있도록 범정부 차원의 지원이 필요하다"고 제언했다.

이같은 일각의 우려에 금융당국은 단기간에 580개 금융회사의 전산자산을 전수조사하기 위해서는 금융회사의 직접 점검이 불가피하다는 입장이다. 

금융위 관계자는 "580개 금융회사의 방대한 전산자산을 당국이 직접 점검하는 것은 현실적으로 불가능하다"며 "각 금융회사의 전산시스템과 연결 구조를 가장 잘 아는 곳은 해당 금융회사인 만큼 자체점검을 실시하되, 판단 근거가 부실하거나 잘못된 경우에는 금감원이 현장점검을 통해 바로잡겠다는 취지"라고 설명했다.  

경영진의 보안책임 강화를 위한 일률적인 정량 기준 마련에 대해서도 신중한 입장을 보였다. 이 관계자는 "당국이 일률적인 기준을 제시하면 금융회사들은 이를 충족하는 데 그칠 수 있다"며 "자체적으로 위험을 판단하고 CEO 책임 아래 필요한 조치를 취하는 것이 중요하다"고 말했다.

romeok@newspim.com