[AI해킹 비상] 줄줄이 뚫린 금융권, 보안에 얼마 썼나 ‘깜깜’… 당국 전수점검

인공지능(AI) 해킹 비상이 걸렸는데 금융권이 보안투자와 전담인력 수준을 소비자가 확인하기 어려운 것으로 나타났다. 그동안 금융회사는 정보보호 공시 의무가 없어 관련 현황을 공개한 곳이 드물었기 때문이다. 내년부터는 금융회사에 대한 공시 의무 면제도 폐지된다. 보안 취약점 점검과 함께 투자·인력 현황에 대한 정보 공개도 확대될 전망이다.
8일 금융권 등에 따르면 금융당국은 약 580개 금융회사를 대상으로 연말까지 보안 취약점과 내부통제체계 등을 점검한다. 홈페이지뿐 아니라 직원 업무 시스템, 외부업체 연결망 등도 대상이다. 관리 목록에 올라 있는 외부 접점 시스템은 이달 말까지, 목록에서 누락된 시스템과 경영진의 내부통제 점검은 다음 달 말까지 진행한다.

개인정보 유출이나 자금 탈취로 이어질 수 있는 중대한 취약점이 발견되면 즉시 해당 서비스를 중단하고 외부 접근을 차단해야 한다. 즉시 보완이 어렵고 중요한 서비스 제공과 직접 관련된 경우에만 대체통제를 갖추고 최고경영자(CEO)의 승인을 받아 서비스를 재개할 수 있다. 자체 점검이 미흡하거나 다수의 취약점이 확인된 금융회사에 대해서는 당국이 현장점검에 나설 방침이다.

지난 3일까지 금융권 37개사에서 접수된 침해신고는 40건이다. 저축은행 5곳, 보험사 3곳, 여신전문금융회사 2곳, 상호금융 1곳, 온라인투자연계금융업체 4곳 등 제2금융권도 포함됐다. 점검 범위는 넓어지지만 소비자가 금융회사별 보안 투자 수준을 확인할 수 있는 자료는 충분하지 않다.
한국인터넷진흥원(KISA)에 따르면 올해 상반기 정보보호 공시에 참여한 곳은 카드사 8곳 중 1곳, 저축은행 79곳 중 2곳이었다. 일부 보험사는 지속가능경영보고서에 관련 지표를 공개하고 있으나 공개 범위에 차이가 있다.

그동안 금융회사는 정보보호 공시 의무 대상에서 제외돼 있었다. 관련 시행령 개정으로 내년 1월부터 금융회사에 대한 면제가 폐지된다. 공시 대상 기업은 정보보호 투자액과 전담인력, 인증·점검 현황 등을 공개해야 한다. 다만 소기업에는 2년의 유예기간이 적용된다.

당국은 정기 취약점 점검도 연 1회에서 2회로 늘린다. 자산 2조 원 이상이면서 직원 300명 이상인 금융회사부터 적용하고, 2028년에는 중소형사로 확대할 계획이다. 금융권 관계자는 “점검 결과에 따른 보완 조치를 이행하고 정보보호 투자와 인력을 지속적으로 관리하는 것이 필요하다”고 말했다.


홍석경 글로벌이코노믹 기자 hong@g-enews.com