;)
;)
;)
사고가 터질 때마다 금융회사는 보안 강화를 약속하고 금융당국은 재발 방지 대책을 내놓는다. 하지만 비슷한 사고가 반복된다면 이제는 대책의 가짓수가 아니라 실효성을 따져봐야 할 차례다.
지난해 롯데카드 사고 사례의 경우 고객 약 297만 명의 개인신용정보가 유출됐고 이 가운데 약 28만3000명은 카드 비밀번호와 고유확인번호(CVC)까지 유출된 것으로 파악됐다. 올해는 위협의 양상이 한층 복잡해졌는데, 이달 중순에는 은행과 저축은행 등을 포함한 금융회사 및 관련 업체 17곳에서 침해 사고가 발생한 것으로 집계됐으며 개인정보 유출 규모도 약 10만 건에 이르는 것으로 파악됐다.
금융회사 555곳을 대상으로 한 긴급 자체 점검에서는 130곳이 일부 보안 항목에서 미흡하다고 보고됐다. 보안 패치와 제조사 기술지원 종료 시스템 관리, 보안 관제 등 기초적인 영역에서도 허점이 드러났다.
사고가 반복되는 것만으로도 심각하지만 더 주목해야 할 대목은 공격 방식의 변화다. 인공지능(AI)을 활용하면 공격 대상의 취약점을 탐색하고 공격에 필요한 정보를 수집하는 과정이 빨라질 수 있다. 과거의 공격 유형을 차단하고 정기 점검으로 취약점을 보완하는 방식만으로는 빠르게 변하는 위협을 따라잡기 어려워진 것이다.
법과 제도의 뒷받침으로 사고 재발을 막는 것이 중요해진 시점이지만 금융권의 보안 책임을 강화하기 위한 전자금융거래법 개정안은 금융권 보안 사고가 불거졌던 지난해 11월 발의됐으나 현재까지도 국회 정무위원회에 계류 중이다.
개정안에는 금융회사 대표이사의 정보보호 책임을 명확히 하고 정보보호최고책임자(CISO)의 권한을 강화하는 한편, 정보보호 현황 공시와 제재 체계를 정비하는 내용 등이 담겼다. 금융회사의 보안 투자가 선언에 그치지 않고 실제로 책임과 의무로 이어지도록 하자는 취지다.
소를 잃은 뒤 외양간을 고치는 일도 필요하다. 하지만 같은 사고가 반복된다면 울타리만 고칠 게 아니라 관리 체계 자체를 바꿔야 한다. 금융권 보안 사고가 2년째 이어지는 지금, 필요한 것은 또 하나의 사과문이나 재발 방지 선언이 아니다. AI 시대에 맞는 보안 체계와 책임 있는 제도, 기존 대책이 제대로 작동하는지 검증하는 일이다.
이민지 글로벌이코노믹 기자 mj@g-enews.com
