금감원 ‘IT 보안’ 감독 허술

금융권 IT예산 중 보안관련 비중

예산 확충 권고 관리소홀
금융 ‘정보보호 방임’ 불러

금융 당국이 금융권의 아이티 보안 예산 권고 기준을 제시해놓고도 이를 실질적으로 평가·감독할 시스템을 마련하지 않고 방치해왔던 것으로 드러났다. 최근 현대캐피탈 해킹과 농협 전산망 마비 사태로 ‘보안 불감증’이 드러나자 뒤늦게 시스템 마련에 나설 방침이지만 ‘늑장 대처’라는 비판을 피할 수 없게 됐다.

17일 금융감독원 관계자는 “2009년 이후 보안 예산 비중을 전체 아이티 예산의 5% 수준으로 강화하도록 권고했지만, 다른 업무에 밀리다 보니 권고 기준을 지키는지 평가할 기준과 시스템을 마련하지 못했다”며 “기준이 미비해 금융권에 보안 예산 비중을 높이도록 유도하거나 강제하기가 어려운 실정”이라고 말했다. 금감원은 사고가 터지자 뒤늦게 세부 평가 기준과 시스템을 마련할 방침이라고 밝혔다.

금융 당국은 지난 2005년 외환은행 해킹 사고가 일어나자 외국 사례를 참조해서 아이티 보안 예산 권고기준을 3%로 제시했다. 또 2009년 7월 디도스 대란 이후에는 이를 5% 수준으로 강화했다. 금감원 관계자는 “디도스 대란 이후에 미국계 은행 몇 곳을 표본조사 했더니 전체 아이티 예산 대비 보안 예산 비중이 7% 수준이었다”면서 “우리 금융권 현실을 생각할 때 7%로 갑자기 끌어올리기에는 무리가 가서 5% 권고 기준을 제시했던 것”이라고 말했다.

그러나 금융권은 이런 권고 기준 강화에도 예산을 거의 늘리지 않아왔다. 금감원이 이성헌 의원실에 제출한 자료를 보면, 농협중앙회는 2010년 934억5000만원의 아이티 예산을 쓰면서도 정작 보안 예산은 아이티 예산의 1.6%인 14억5000만원을 사용하는 데 그쳤다. 실제 전체 아이티 예산 대비 보안 예산 비중은 은행은 2008년 4.4%였다가 2009~2010년 3.4%로 되레 줄어들었다. 생명보험사는 2008년 2.5%에서 2009년 3.1%로 늘었으나, 2010년 다시 2.7%로 떨어졌다. 손해보험사는 2008~2010년 3년 동안 3%를 밑돌고 있는 상황이다.

이는 세부 기준을 마련하거나 권고 기준 준수를 경영평가에 반영하는 등 후속 조처를 취하지 않았던 금융당국의 소홀함이 주요한 원인이다. 당장 아이티 예산 가운데 어디서부터 어디까지를 보안 예산으로 인정해줄 것인지에 대한 세부 기준이 전혀 없는 상태다. 금감원 관계자는 “금융 당국의 기준이 없어서 금융회사가 자체 회계기준에 따라 분류한 보안 예산 현황을 보고받는 실정”이라며 “이러다 보니 권고기준을 따르지 않아도 경영평가에 반영하기가 힘들다”고 설명했다.

임종인 고려대 정보보호대학원장은 “금융 거래의 80%가 전산망을 통해 이뤄지는데, 금감원 보안 예산 5% 권고기준을 맞춘 데가 은행에서도 몇 군데 없는 것은 한심한 일”이라며 “정보보호 인력과 양성체계에 대한 홀대, 금융회사들의 보안 투자 무시가 화를 키웠다”고 말했다.

정세라 기자 [e-mail]