[딜사이트 차화영 기자] 우리은행이 은행권 가운데 가장 먼저 시작한 정보보호 자율공시를 7년째 이어가며 정보보호 활동의 투명성을 높여왔다. 초기에는 정보보호 체계 구축과 개인정보 보호에 초점을 맞췄다면 최근에는 생성형 인공지능(AI)과 클라우드 환경 확산에 대응하기 위한 보안 체계 고도화에 집중하는 모습이다.

15일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 우리은행은 올해로 일곱 번째 정보보호 자율공시에 참여했다. 정보보호 자율공시는 기업이 정보보호 투자와 인력, 운영 현황 등을 자발적으로 공개하는 제도다. 우리은행은 다른 시중은행들이 참여하지 않던 2020년부터 자율공시에 참여하며 정보보호 활동을 지속적으로 공개해 왔다. 정보보호를 단순한 내부 관리 영역이 아니라 외부에 공개하고 검증받아야 할 경영 과제로 인식해온 셈이다.

지난해 우리은행의 정보보호 투자액은 363억8143만원으로 정보기술(IT) 투자액의 9.1%를 차지했다. KB국민은행(8.2%), 신한은행(8.0%), 하나은행(9.0%)보다 높은 수준이다. 정보보호 전담인력은 내부 49명, 외주 52명 등 모두 101명으로 전체 IT인력의 8.8%를 차지했다. 정보보호 투자 비중과 전담인력 비중 모두 시중은행 가운데 상위권 수준을 유지하고 있다.

이번 공시에서 가장 눈에 띄는 변화는 생성형 AI 시대를 겨냥한 정보보호 체계 구축이다. 우리은행은 지난해 생성형 AI 이용 보안대책 기준을 마련하고 AI를 활용해 정보보안 위험을 자동으로 식별·평가하는 감사 기법을 개발해 지난해 5월 특허를 출원했다.

AI 기반 이상거래탐지시스템(FDS)도 지속적으로 고도화하며 AI를 새로운 보안 위협인 동시에 방어 수단으로 활용하는 체계를 구축하고 있다. 클라우드 기반 외부 서비스(SaaS) 도입이 늘어남에 따라 이에 맞는 보안대책 기준도 새로 마련했다.

우리은행의 정보보호 체계는 그룹 차원의 관리 체계와도 연계돼 있다. 지난해 전자금융기반시설 등을 대상으로 1220개 항목을 점검해 인프라 영역에서 발견된 취약점 14건을 모두 해소했다. 지난해 하반기에는 그룹 전체의 개인(신용)정보 및 IT 보안 전수 점검을 실시하고 그 결과를 이사회에 보고했다. 전자금융감독규정 개정에 따른 이사회 보고 의무화에 맞춘 조치다.

우리금융그룹은 2025년부터 2027년까지 3개년 정보보호 로드맵도 운영하고 있다. 올해 보안 수준 진단과 표준화 체계 수립을 마친 뒤 내년에는 AI·SaaS 등 신기술 환경에 대응하는 지능형 통합관리 체계로 전환한다는 방침이다. 2027년에는 '절대 신뢰하지 말고 항상 검증하라'는 원칙의 제로트러스트 체계 완성을 최종 목표로 잡고 있다.

보안 인력의 실전 역량 강화에도 공을 들이고 있다. 지난해 9월 금융보안원과 공동으로 대학생 모의해킹 경진대회 'WooriCON 2025'를 개최했다. 외부 화이트해커 생태계와 협력해 취약점을 선제적으로 발굴하기 위한 취지다. 전국 24개 팀 80명이 우리WON뱅킹과 인터넷뱅킹의 보안 취약점을 직접 찾아내는 버그바운티 방식으로 진행됐으며 총 850만원의 상금이 수여됐다. 올해로 5회째를 맞은 대회다.

우리은행 관계자는 "2020년부터 정보보호 자율공시에 참여한 것은 정보보호 활동의 투명성과 고객 신뢰를 높이기 위한 취지"라며 "최근에는 생성형 AI 확산 등 디지털 금융 환경 변화에 맞춰 AI 기반 정보보호 체계와 자율보안 역량을 지속적으로 고도화하고 있다"고 말했다.

우리은행은 2020년 국내 시중은행 최초로 정보보호 및 개인정보보호 관리체계(ISMS-P)와 국제 정보보호·개인정보보호 인증인 ISO/IEC 27001·27701을 모두 획득했다. 금융위원회의 개인신용정보 활용·관리 실태 상시평가에서도 5년 연속 최고등급(S등급) 을 유지하고 있다. 우리은행은 정보보호 투명성을 기반으로 AI·클라우드 환경에 대응하는 차세대 보안 체계를 구축하며 정보보호 경쟁력을 강화하고 있다.