이찬진 금감원장, 해킹사고 첫 CEO 제재 언급 왜 했나…타깃 누구

(서울=연합인포맥스) 한상민 기자 = 이찬진 금융감독원장이 최근 금융권에 동시다발적으로 벌어진 인공지능(AI) 해킹 사고와 관련해 최고경영자(CEO)의 책임을 묻겠다고 분명히 밝히면서 첫 타깃이 누가 될지 관심이 쏠리고 있다.

그간 금융권 보안사고가 발생할 때마다 CEO의 엄중 제재를 예고했지만 실제로 일선 실무진에만 책임이 집중되고 경영진에 대한 문책은 충분히 이뤄지지 않았다는 비판 여론을 의식한 발언으로 보여진다.

특히, 고객정보 유출 규모가 가장 큰 신한은행과 최초 공격에 대한 대응과 경영진 보고가 늦었다는 지적을 받은 KB국민은행 등 대형 시중은행장이 본보기가 될 가능성이 거론되고 있다.

20일 금융권에 따르면 이찬진 금감원장은 전날 국회 정무위원회 국정감사에서 해킹 사고에 대해 "내부통제 기준 관리 의무와 관련해 CEO의 책임 문제가 다뤄지는 최초 사안이 될 것이라고 생각한다"고 말했다.

정무위원들이 AI 해킹으로 인한 개인정보 유출 경위와 사고 대응, 보안 투자 미흡 등을 집중적으로 캐물으며 이 원장에게 후속 조치를 요구하자 취약 부분부터 전수조사에 준하는 수준으로 점검에 나서겠다고 언급하면서 CEO 제재안은 먼저 꺼낸 것이다.

금감원은 해킹 사고가 난 금융사 현장점검 결과 보안의 기본을 지키지 못한 부분에 주목하고 있다. 보안 담당 임직원의 기술적 대응뿐 아니라 경영진의 내부통제 관리체계 부실을 물을 수 있는 대목이다.

해킹 사고가 발생한 사실만으로 CEO를 제재하기는 어렵지만 사전에 위험을 인지하고도 적절한 조치를 취하지 않았거나, 보고체계가 망가져 제대로 작동하지 않았다면 책무구조도상 관리의무 위반 여부를 따질 수 있다.

금융권에선 금감원이 정보유출에 대한 경각심을 알리는 상징적 측면에서 대형 시중은행 CEO를 제재 대상에 올려 검토할 가능성에 무게를 두고 있다.

이번 해킹 사건을 최초 신고한 신한은행에선 고객 2만5천729명의 정보가 유출됐다. 사고가 발생한 곳은 대출모집인이 이용하는 대출 관련 조회 서비스로 파악됐다. 신한은행은 모집인 전용 조회 화면을 외부에 열어 뒀는데, 외부 비인가자가 정상적인 본인확인 절차를 거치지 않고 해당 서비스에 접근할 수 있었던 게 화근이었다.

KB국민은행과 하나은행에선 각각 99명, 89명의 고객정보가 유출됐다. 유출된 고객 수만 놓고 보면 신한은행이 가장 많지만 초기 탐지와 사고 대응, 경영진 보고의 적정성까지 고려해 제재할 것으로 예상된다.

이양수 국민의힘 의원이 5대 시중은행(KB국민·신한·하나·우리·NH농협)에서 제출받은 자료에 따르면, 국민은행은 최초 이상 징후 탐지부터 은행장 보고까지 81시간 41분이 소요됐다. 국민은행은 이상징후 발견 후 정보보호최고책임자(CISO)에게 보고된 시점은 58시간 8분이 지난 지난달 30일 오전 9시 27분이었다. 이환주 국민은행장에게 보고한 것은 이달 1일 오전 9시로 파악됐다.

국감에서는 국민은행이 최초 공격을 받은 이후 지난달 29일 새벽 베트남 IP를 이용한 우회 공격이 발생하면서 81명의 정보가 추가 유출됐다는 지적도 제기됐다.

신한은행은 대규모 정보 유출과 사전 위험관리의 적정성이 쟁점이 될 것으로 보인다.

신한은행은 최초 외부 접근 이후 15시간 26분이 지난 시점에 이상 징후를 탐지했고, 이후 14시간 만에 정상혁 은행장에게 보고했다.

은행장 보고 소요시간은 5대 은행 중 가장 짧았지만, 개인정보 유출 피해가 가장 컸다는 점에서 사고 이전의 보안 투자와 위험관리 체계에 대한 점검이 집중될 것으로 보인다.

금감원은 이르면 이번주 중 현장검사를 마무리하고 제재를 위한 본격적인 내부 검토에 들어갈 계획이다.

CEO 관련한 제재는 IT부문에 대한 분석·검토가 마무리된 뒤 논의될 것으로 보인다.

지난 2024년 7월 시행된 개정 금융회사지배구조법은 금융회사 임원별 내부통제 책무를 사전에 배분하고, 관리의무 위반에 대해 책임을 물을 수 있도록 했다. 은행과 금융지주는 지난해 1월부터 본격 도입됐다.

대표이사는 내부통제 전반의 최종 책임자로서 인적·물적 자원의 지원, 임원의 관리의무 이행 점검, 잠재적 위험요인과 취약 분야 점검, 미흡 사항에 대한 개선 조치 등을 실효성 있게 수행하도록 규정하고 있다.

따라서 정보보호 업무를 담당하는 임원에게 개별 관리의무가 부여되더라도 CEO의 총괄 관리의무가 사라지는 것은 아니다.

향후 금감원 검사에서 정보보호최고책임자(CISO) 등이 보안 취약점을 은행장에게 어떤 방식으로 보고했는지, 개선을 위한 예산과 인력이 적절하게 지원됐는지, 위험을 인지하고도 개선 조치를 제때 이행했는지가 쟁점이 될 것으로 보인다.

금감원은 은행 뿐 아니라 예가람저축은행, 웰컴저축은행 등 전 금융권을 대상으로 다중인증이나 접근통제 등 기본 보안수칙을 위반했는지 들여다볼 것으로 보인다.

금융권 관계자는 "은행별 유출 규모와 사고 경위가 다른 만큼 일률적인 제재보다는 사전 예방 노력과 관리체계의 실효성을 하나하나 따질 것으로 보인다"며 "이 원장의 발언이 기존보다 강도가 센 만큼 본보기 케이스가 한 곳 이상 나올 것"이라고 말했다.

smhan@yna.co.kr