은행권 기관영업에도 '해킹사태' 그림자…금고 심사 문턱 높아지나

보안 역량 평가하지만 사고이력 감점 기준은 불분명

유출 규모·대응 속도 반영 의견

(서울=연합인포맥스) 박경은 기자 = 대형 금고를 둘러싼 은행권의 기관영업 경쟁에 '해킹사태'가 새로운 변수로 떠올랐다. 일부 금고 선정 심사 현장에서 정보유출 규모와 사고 대응 속도를 평가에 반영할 필요가 있다는 의견이 나오면서다.

현재 전산시스템의 보안·안정성을 평가하는 수준을 넘어 사고 이력과 관련한 평가 기준이 구체화할지 주목된다.

3일 금융권에 따르면 지난달 초 은행권의 고객정보 유출 사고가 잇따라 알려진 이후, 자치구금고와 법원 공탁금 취급은행 선정 절차가 이어졌다.

올해는 서울·인천시금고 등 대형 기관의 거래은행 선정 일정과 법원·연금 등 주요 기관의 입찰이 맞물리면서 기관영업에 '큰 장'이 선 해다. 은행 간 수주 경쟁이 이어지는 가운데 해킹 사고가 발생하면서 보안 역량도 주요 관심사로 떠올랐다.

일부 선정 심사 현장에서는 해킹 사고에 따른 불이익을 평가에 반영할 필요가 있다는 의견도 오간 것으로 전해졌다. 정보유출 규모뿐 아니라 사고 이후 조치와 대응에 걸린 시간도 살펴봐야 한다는 취지에서다.

다만 이러한 문제 제기가 공식적인 평가방식 변경이나 별도의 감점 기준 마련으로 이어진 것은 아니라는 게 금융권의 설명이다.

이미 공고된 평가기준에 따라 선정 절차가 진행 중인 만큼, 새로운 감점 기준을 곧바로 적용하기는 쉽지 않다. 사고 이력의 반영 범위와 배점, 적용 시점 등을 검토할 필요가 있는 데다, 사고가 알려진 이후 입찰 일정이 이어져 충분한 논의 시간을 확보하기도 어려웠을 것으로 보인다.

한 은행권 관계자는 "일부 심사위원 사이에서 유출 건수를 기준으로 불이익을 줘야 한다는 의견과 사고 이후 조치·대응까지 걸린 시간을 더 중요하게 봐야 한다는 의견이 있었다"며 "공통된 기준이 있는 것은 아니어서 관련 의견을 교환한 수준"이라고 말했다.

기존 금고 선정 기준에도 보안 관련 평가항목은 있다. 다만 사고 발생 여부와 피해 규모 등에 따라 점수를 얼마나 차감할지까지 정해놓은 구조는 아니다.

금고 사업 평가 기준의 '바로미터'로 불리는 서울시금고의 경우 전체 100점 가운데 금고업무 관리능력에 28점이 배정돼 있다. 이 중 '전산시스템 보안관리 등 전산처리능력'의 배점은 8점이다.

전산보안시스템의 하드웨어·소프트웨어 도입 및 운영방안 등을 제출받아 비교·평가한 뒤 금융기관별 순위에 따라 점수를 부여하는 방식이다.

보안시스템을 어떻게 구축하고 운영할지 평가하는 항목이지만, 공개된 해당 기준에는 정보유출 건수나 사고 대응 시간에 따른 별도의 감점 기준이 명시돼 있지 않다.

심사 과정에서 사고 이력을 고려할 여지는 있더라도, 사고의 규모와 대응 수준을 명확히 평가하는 기준은 분명하지 않은 셈이다.

해킹을 평가항목에 직접 명시한 경우에도 초점은 사고 이력에 따른 감점보다는 예방·대응 역량에 맞춰져 있다.

최근 처음으로 주거래은행 선정을 위한 경쟁입찰 공고를 낸 사립학교교직원연금공단은 업무수행방안과 위기대응방안에 각각 12점을 배정했다.

업무수행방안에는 '시스템 장애, 보안해킹 등 이상징후 감지 및 보안 체계'를, 위기대응방안에는 '시스템 장애, 보안해킹 등 비상상황 발생 시 대응 체계'를 평가 내용으로 적시했다.

향후 사고 이력을 심사에 반영하려면 피해 규모와 대응의 적정성 가운데 무엇에 무게를 둘지부터 정해야 한다는 과제가 남는다. 사고가 발생한 시스템과 금고업무를 수행하는 시스템의 관련성도 고려할 부분이다.

이 관계자는 "최근 진행된 지방법원 공탁금 금고선정 절차에서도 시스템 보안과 안정성, 운영체계에 관한 질문은 있었다"면서도 "해킹 사고 자체를 별도로 평가하기보다는 기존에 중요하게 살펴보던 시스템 안정성을 확인하는 차원이었다"고 설명했다.

다른 금융권 관계자는 "해킹사태와 관련해 금고 경쟁이나 기관 영업 측면에서 정성적 평가를 받으며 영향이 있을 수는 있다"고 언급했다.

gepark@yna.co.kr