[딜사이트 차화영 기자] 카카오뱅크가 처음으로 정보보호 자율공시에 참여해 정보보호 투자와 전담인력 현황을 공개했다. 비교 대상 주요 은행 가운데 정보보호 투자 비중과 전담인력 비중 모두 최고 수준을 기록하며 인터넷전문은행의 적극적인 보안 투자 기조를 보여줬다. 특히 단순한 투자 확대를 넘어 생성형 인공지능(AI) 시대를 겨냥한 보안 체계를 전면에 내세운 점이 눈에 띈다.

30일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 카카오뱅크는 지난해 정보기술(IT) 투자액 2113억원 가운데 261억원을 정보보호에 투자했다. 정보보호 투자 비중은 12.4%로 개정 전 전자금융거래법상 권고 기준인 7%를 크게 웃돌았다. 같은 기간 정보보호 자율공시를 시행한 신한은행(8.0%), KB국민은행(8.2%), 하나은행(9.0%), 토스뱅크(11.9%)보다 높은 수준이다. IT 투자 대비 두 자릿수 비중을 정보보호에 투입한 것은 보안을 단순한 비용이 아닌 핵심 투자 영역으로 인식하고 있다는 의미로 해석된다.

정보보호 전담인력도 높은 수준을 유지했다. IT 인력 865.1명 가운데 정보보호 전담인력은 78.5명으로 전체의 9.1%를 차지했다. 신한은행(7.5%), 하나은행(7.4%), KB국민은행(5.13%) 등보다 높은 수준이다. 모든 금융서비스가 디지털 채널을 기반으로 제공되는 인터넷전문은행 특성상 정보보호를 서비스 안정성과 직결되는 핵심 요소로 보고 투자와 전문인력 확보를 함께 확대해온 결과로 풀이된다.

카카오뱅크의 차별점은 생성형 AI 환경에 특화된 정보보호 전략이다. 일반적인 보안 투자 확대를 넘어 LLM(거대언어모델) 자체를 겨냥한 공격에 대응하는 체계를 구축하며 AI 시대 보안 경쟁력 확보에 나섰다는 점이 눈에 띈다. 한국과학기술원(KAIST)과의 산학협력을 통해 LLM 프롬프트 공격 탐지 모델을 고도화했고, 프롬프트 공격과 멀티턴 우회 기법에 대응하는 LLM 입출력 가드레일도 개발했다. AI 서비스의 안전성을 검증하기 위해 화이트해커를 대상으로 생성형 AI의 취약점만 집중 점검하는 'LLM 클로즈드 버그바운티'도 운영하고 있다.

이 같은 AI 보안 전략은 실제 성과로도 이어졌다. 카카오뱅크 보안 인력은 금융회사 보안역량 평가대회 'FIESTA 2025' 금융회사 부문 1위를 차지했고 국제 해킹방어대회 'DEFCON' 본선에도 진출했다. 또 KISA AI 해킹방어대회(ADCD)에서는 취약점 분석가 관점의 AI 레드티밍을 주제로 발표했으며, 유관 기관과 학계, 업계를 초청한 'AI 신뢰성 및 안전성 강화 간담회'도 개최했다.

침해 대응 체계도 정교하게 구축했다. '절대 신뢰하지 말고 항상 검증하라'는 원칙의 제로트러스트(Zero Trust) 보안 모델을 적용해 내부 직원이라도 모든 접근을 매번 검증하도록 했다. 또 공격표면관리(ASM) 체계를 통해 외부에 노출된 IT 자산을 공격자 관점에서 상시 점검하고, 임직원별 위험도를 분석해 정보 유출 가능성을 사전에 모니터링하는 체계도 운영하고 있다. 외부 전문가와 함께하는 화이트햇 모의해킹 프로젝트도 추진하고 있다.

카카오뱅크는 안전한 서비스 환경을 만들기 위해 정보보호 조직도 CIO와 독립적으로 운영해 보안 거버넌스를 강화했다. 정보보호최고책임자(CISO)와 개인정보보호책임자(CPO)는 민경표 실장이 겸직하고 있으며, 최고정보관리책임자(CIO)는 신재홍 최고기술책임자(CTO)가 맡고 있다. 민 실장은 정보보호위원회 위원장을 겸임하며 주요 보안 정책과 정보보호 투자 계획을 심의·의결한다.

카카오뱅크 관계자는 "AI 서비스 확산과 망분리 규제 개선 등 디지털 금융 환경이 빠르게 변화하면서 금융사의 자율적인 정보보호 역량은 차별화 요소로 부상하고 있다"며 "기술 민감도가 기존 은행권보다 상대적으로 높은 인터넷전문은행들은 선제적인 보안 투자와 전문인력 확보를 통해 새로운 금융 환경에 대응하고 있다"고 말했다.

정보보호 체계에 대한 대외 평가도 우수하다. 카카오뱅크는 정보보호 및 개인정보보호 관리체계(ISMS-P)를 비롯해 정보보호, 클라우드, AI 관련 국제 인증인 ISO 27001, ISO 27017, ISO 27018, ISO/IEC 27701, ISO/IEC 42001 등을 유지하고 있다. 금융위원회 개인신용정보 활용·관리실태 상시평가에서도 2021년부터 2025년까지 5년 연속 S등급을 획득했다.