[소셜밸류=변호인 기자] 금융권에서 해킹과 개인정보 유출 사고가 잇따르는 가운데 주요 은행의 정보보호 투자액과 전담인력 변화가 서로 다른 양상을 보인 것으로 나타났다.

 

일부 은행은 전체 정보기술(IT) 투자를 확대하면서도 보안투자액을 줄인 반면, 보안투자액을 늘리고 전담인력까지 확충한 은행도 있었다. 정보보호 공시는 공통 기준에 따라 작성되지만 모든 기업이 검증을 받는 것은 아닌 것으로 확인됐다.

 

▲ 금융위원회 현판./사진=금융위원회 제공

금융위원회는 지난 14일 신한은행 침해사고 전후로 은행·저축은행·상호금융 등 전체 금융업권에서 16개 회사의 침해사고를 확인했다고 발표했다. 금융회사 555곳을 대상으로 진행한 자체점검에서는 130곳이 보안관리 미흡사항을 보고했다. 다만 개별 금융회사의 보안투자액 증감과 침해사고 발생 사이의 인과관계가 확인된 것은 아니다.

​◇우리·제주은행 보안투자 18%대 감소…토스뱅크는 33.6% 증가

16일 소셜밸류가 한국인터넷진흥원(KISA)의 2024~2026년 정보보호 공시 원자료를 분석한 결과, 해당 기간 3년 연속 공시한 은행은 KB국민은행·신한은행·우리은행·제주은행·토스뱅크 5곳이었다. 이들 은행의 2025년 정보보호 투자액은 전년 대비 2곳이 증가하고 3곳이 감소했다. 공시연도는 실제 투자 실적연도보다 1년 늦다.

 

▲ 서울 시내 한 건물에 설치된 은행 현금자동입출금기(ATM)./사진=연합뉴스 제공

이 중 우리은행의 지난해 정보보호 투자액은 363억8100만원으로 전년(444억300만원)보다 18.1% 감소했다. 반면 전체 IT 투자액은 3595억6700만원에서 4016억7600만원으로 11.7% 증가했다. IT 투자액 대비 정보보호 투자 비중은 12.3%에서 9.1%로 3.2%포인트 하락했다.

우리은행의 보안투자액은 2023년 427억6200만원에서 2024년 444억300만원으로 증가했다가 지난해 감소세로 돌아섰다. 3개년 가운데 가장 낮은 수준이다.

우리은행은 공시 특기사항에서 IT개발사업장 2곳 축소로 정보기술·정보보호 관련 비용이 약 55억원 감소했다고 설명했다. 다만 해당 금액에서 정보보호 비용이 차지하는 비중은 구분되지 않아, 보안투자액 감소분 약 80억원의 세부 원인을 전부 확인할 수는 없다.

제주은행도 보안투자액이 2024년 37억9400만원에서 지난해 30억9600만원으로 18.4% 감소했다. 같은 기간 전체 IT 투자액은 350억6400만원에서 358억4000만원으로 증가했다. IT 투자액 대비 보안투자 비중은 10.8%에서 8.6%로 낮아졌다.

반면 토스뱅크의 정보보호 투자액은 2023년 87억7800만원, 2024년 94억7700만원, 2025년 126억6400만원으로 3년 연속 증가했다. 지난해 증가율은 33.6%로, 같은 기간 전체 IT 투자액 증가율을 웃돌았다. 보안투자 비중도 9.8%에서 11.9%로 높아졌다.

국민은행의 정보보호 투자액 역시 2023년 420억7700만원에서 2024년 425억1200만원, 2025년 433억2000만원으로 꾸준히 늘었다. 지난해 증가율은 1.9%였다. 전체 IT 투자액이 감소한 가운데 보안투자 비중은 7.5%에서 8.2%로 상승했다.

신한은행은 2023년 287억8000만원이던 보안투자액을 2024년 370억3500만원으로 확대했지만, 지난해에는 368억9800만원으로 0.4% 줄였다. 전체 IT 투자액은 증가하면서 보안투자 비중이 8.6%에서 8.0%로 낮아졌다.

◇신한은행 투자액 줄어도 인력 확충…증권업계서도 상반된 흐름

 

▲ 그래픽=챗GPT

보안투자액이 소폭 감소한 신한은행은 지난해 정보보호 전담인력을 오히려 늘렸다. 2024년 91.1명에서 지난해 97.8명으로 7.4% 증가했다. 내부인력은 55.7명에서 54.3명으로 1.4명 줄었지만 외주인력은 35.4명에서 43.5명으로 8.1명 증가했다.

신한은행은 내부인력 감소분을 외주인력으로 단순 대체한 것이 아니라 전체 전담인력 규모를 확대했다고 설명했다. 공시상 전담인력은 연간 월평균으로 산정하기 때문에 실제 채용·퇴직 인원과 달리 소수점 단위의 변동이 발생할 수 있다고 덧붙였다.

국민은행은 신한은행과 반대였다. 보안투자액은 1.9% 증가했지만 전담인력은 97.1명에서 96.7명으로 소폭 감소했다. 내부인력이 65.7명에서 63.4명으로 줄어든 반면 외주인력은 31.4명에서 33.3명으로 늘었다.

제주은행은 투자액과 전담인력이 모두 감소했다. 지난해 전담인력은 8.5명으로 전년 12.8명보다 4.3명 줄었다. 토스뱅크는 투자액 증가와 함께 전담인력도 27.2명에서 30명으로 확충했다.

최근 침해사고가 확인된 웰컴저축은행의 정보보호 투자액은 2024년 26억1900만원에서 지난해 37억5200만원으로 43.3% 증가했다. 같은 기간 전담인력은 8.3명에서 7.8명으로 감소했다. 웰컴저축은행은 인력 감소 배경을 이직에 따른 변동이라고 설명했다.

증권사 가운데 NH투자증권은 지난해 정보보호 투자액이 약 124억원으로 전년 대비 24.2% 증가했지만 전담인력은 32.8명에서 31.7명으로 줄었다. 한국투자증권 역시 투자액은 약 166억8300만원에서 187억6000만원으로 12.5% 늘었지만 전담인력은 41.7명에서 37.5명으로 감소했다.

반면 신한투자증권은 같은 기간 보안투자액이 약 138억1700만원에서 171억100만원으로 23.8% 증가했고, 전담인력도 50.7명에서 53.6명으로 늘었다.

정보보호 투자액에는 보안 관련 자산의 감가상각비와 각종 운영비용, 인건비 등이 포함된다. 따라서 보안장비 도입이나 외부 용역 확대 등 지출 구조에 따라 투자액과 전담인력의 증감 방향이 달라질 수 있다. 공시 수치만으로 실제 보안업무의 수행 범위나 인력 운용의 적정성까지 판단하기는 어렵다.

국민은행은 2023년부터 내부 공격·방어팀을 활용한 자체 사이버 해킹 공방훈련을 상시 수행하고 있다고 밝혔다. 실제 해킹그룹의 공격 시나리오를 바탕으로 초기 침입부터 정보 유출까지 모의 점검하고, 외부 전문업체와도 취약점 점검 및 보안 컨설팅을 진행한다는 설명이다. 다만 이번 회신에서 투자액 증가분의 구체적인 사용처는 확인되지 않았다.

◇공통 기준으로 산정하지만…KISA 검증은 일부 기업에 한정

KISA는 소셜밸류에 보낸 서면 답변에서 정보보호 투자액이 공통된 '정보보호 공시 가이드라인'에 따라 산정된다고 밝혔다.

 

▲ 한국인터넷진흥원(KISA) 본사./사진=한국인터넷진흥원 제공

 

기업들은 감사보고서와 자산대장, 비용원장 등을 토대로 정보보호 관련 자산의 감가상각비와 비용, 인건비를 합산해 투자액을 산출한다. 이후 산정 결과를 정보보호 공시 종합포털에 직접 등록하는 방식이다.

KISA는 검증 대상 기업에 대해 감사보고서, 자산대장, 비용원장 등 회계자료와 조직도, 업무분장표 등 인력 관련 증빙자료를 대조한다고 설명했다. 이를 통해 투자액과 인력 현황이 가이드라인에 맞게 산정됐는지 확인한다.

KISA는 “모든 공시 기업을 대상으로 검증을 실시하는 것은 아니며, 검증 여부와 관계없이 각 기업은 관련 증빙자료를 근거로 공시내용을 작성·제출하도록 하고 있다”고 밝혔다.

[ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]