[딜사이트 차화영 기자] KB금융지주가 준법감시인 핵심성과지표(KPI)에 정보보호 성과를 반영하며 정보보호를 그룹 차원의 핵심 경영 과제로 끌어올리고 있다. 생성형 인공지능(AI) 확산과 사이버 위협 증가로 정보보호가 금융사의 핵심 경쟁력으로 떠오르면서 평가체계와 보안 운영체계 전반을 손질하는 모습이다.

1일 KB금융에 따르면 올해부터 지주 준법감시인과 정보보호 담당 임원의 KPI에 정보보호 성과를 반영하고 있다. 특히 정보보호 담당 임원뿐 아니라 준법감시인 평가 지표에도 정보보호 성과를 포함한 점이 눈에 띈다.

정보보호를 단순 IT 관리 영역이 아닌 내부통제·리스크 관리 영역으로 인식하고 관련 책임을 경영진 평가체계와 연계한 것으로 풀이된다. 이는 지난해 말 조직개편을 통해 정보보호 조직을 기존 IT 부문에서 준법감시인 산하로 이관한 흐름과도 맞닿아 있다.

현재 정보보호 조직은 올해 선임된 최석문 준법감시인 부사장이 총괄하고 있다. 정보보호최고책임자(CISO)와 개인정보보호책임자(CPO)는 KB국민은행 정보보호본부장을 맡고 있는 이재용 상무가 겸직하고 있다.

KB금융은 보안 운영체계 고도화에도 속도를 내고 있다. 특히 2016년부터 운영해 온 그룹 통합보안관제시스템을 이달부터 기존 3개에서 1개로 통합해 운영하는 것으로 파악됐다. 현재 지주를 비롯한 11개 계열사가 이 시스템을 함께 쓰고 있다.

KB금융 관계자는 "관제시스템 통합을 통해 계열사별로 달랐던 보안관제와 보안정책을 표준화하고 그룹 공동 대응 체계를 강화할 것"이라며 "외부 침해 위협에 대한 탐지·분석 역량을 높이는 동시에 계열사별 정보보호 운영 현황을 그룹 차원에서 통합 점검·관리할 수 있는 기반도 마련하게 된다"고 말했다.

계열사별로 분산돼 있던 보안관제 체계를 일원화하면 이상 징후 탐지 기준과 대응 절차를 표준화할 수 있다는 점에서 그룹 차원의 보안 통제력도 한층 강화될 것으로 기대된다.

지난 3월에는 지주와 11개 계열사의 CISO·CPO가 참여하는 그룹 정보보호협의회를 열고 중장기 정보보호 마스터플랜과 통합보안관제시스템 고도화 방안을 논의했다. 아울러 생성형 AI 확산에 따른 데이터 유출, 모델 편향성, 권한 관리 등 새로운 보안 리스크에 대응하기 위한 그룹 공통 가이드라인 마련에도 착수했다.

KB금융은 올해 금융지주 가운데 유일하게 정보보호 자율공시에 참여해 정보보호 투자와 인력, 보안 활동 현황을 공개하기도 했다. 2027년 정보보호산업법 시행령 개정에 따른 의무공시 확대를 앞두고 선제적으로 대응하는 한편, 정보보호 수준을 시장에 투명하게 공개하겠다는 취지로 해석된다.

공시에 따르면 지난해 KB금융의 정보기술 투자액은 100억805만원, 정보보호 투자액은 14억6033만원으로 정보보호 투자 비중은 14.6%다. 정보보호 전담인력은 15.3명으로 정보기술 인력 대비 41.1% 수준이다.

최근 금융권에서는 개인정보 유출과 해킹 사고가 잇따르면서 정보보호를 경영진 책임 영역으로 격상해야 한다는 목소리도 커지고 있다. 지난해 롯데카드에서는 해킹 사고로 고객 297만명의 개인정보가 유출됐고, 신한카드에서도 가맹점 대표자 약 19만명의 개인정보가 유출되는 사고가 발생했다. 보안 사고는 금융사 신뢰도와 직결되는 만큼 내부통제 차원의 관리 필요성이 더욱 커지고 있다는 평가다.

금융당국 역시 정보보호 강화를 지속적으로 주문하고 있다. 금융감독원은 최근 금융사와 빅테크를 대상으로 보안 사고 예방과 IT 내부통제 강화를 강조하고 있으며, 이찬진 금융감독원장도 지난해 말 금융 보안사고와 관련해 "보안이 뚫리면 회사가 망할 수 있다는 의식이 있어야 한다"고 언급한 바 있다.

KB금융은 그룹사 화이트해커를 활용한 취약점 합동점검(Co-Work), 그룹 해킹대회(Hacking Contest), 정보보호 기술랩 운영, 해외 법인 및 국내 손자회사 정보보호 점검, 매월 악성메일 모의훈련 등도 실시하고 있다. 금융위원회 금융분야 정보보호 상시평가에서는 2022년부터 2025년까지 4년 연속 S등급을 획득했다.

금융권 관계자는 “생성형 AI 확산과 사이버 공격 고도화로 정보보호가 더 이상 IT 부서만의 과제가 아니라는 인식이 확산되고 있다”며 “KB금융 역시 KPI 개편, 조직 개편, 통합보안관제 고도화 등을 통해 정보보호를 그룹 내부통제 체계 안으로 편입시키는 작업을 본격화한 것으로 보인다"고 말했다.