[딜사이트 한영훈 기자] 금융권을 겨냥한 해킹 사고가 잇따르는 가운데 금융당국 수장도 기본적인 보안 대응이 미흡했다는 점을 인정했다. 금융보안원이 이미 관련 취약점의 관리 필요성을 안내했지만 실제 사고를 막지 못하면서 금융회사의 보안관리뿐 아니라 금융당국의 점검·감독 실효성까지 국정감사 도마에 올랐다.

8일 국회 정무위원회의 금융위원회 국정감사에서 한창민 사회민주당 의원은 금융보안원이 지난해 7월 인공지능(AI) 보안 위협 대응요령을 발표하고 지난달 17일 금융회사 보안 담당자를 대상으로 대응 세미나까지 개최한 사실을 지적했다.

한 의원은 “이미 외부 시스템과 응용프로그램 인터페이스(API·서로 다른 시스템을 연결하는 통로)의 취약점 관리 필요성이 제시됐는데도 유사한 공격이 반복됐다”고 비판했다. 금융보안원이 사전에 취약점 관리 필요성을 알렸음에도 실제 금융회사들이 보완 조치를 이행했는지 충분히 점검하지 못했다는 문제 제기다.

이에 이 위원장은 "우리의 대응방식이 아주 기본적인 부분도 굉장히 미흡하다"며 "이런 부분은 저희가 철저하게 더 점검하고 바꿔 나가야 할 것 같다"고 밝혔다.

금융회사의 보안 역량 격차도 쟁점으로 떠올랐다. 박민규 더불어민주당 의원은 4대 은행의 보안 전담 인력이 평균 92명인 데 비해 저축은행은 평균 6명에 그친다고 지적했다. 대형 은행과 중소형 금융회사 간 보안 인력 격차가 큰 만큼 개별 회사의 투자만으로는 대응에 한계가 있다는 주장이다.

박 의원은 특히 저축은행 등 보안 인력과 투자 여력이 부족한 금융회사를 대상으로 금융당국 차원의 공동 AI 보안체계를 구축할 필요가 있다고 강조했다.

AI를 활용한 해킹 위협이 커지는 상황에서 정작 금융회사의 AI 보안 활용은 규제에 가로막혀 있다는 지적도 나왔다. 박 의원은 해킹 공격에 AI가 활용되는 반면 금융회사는 망분리 규제로 보안 목적의 외부 AI 서비스를 활용하는 데 제약을 받는 문제를 제기했다. 망분리는 금융회사의 내부 업무망과 외부 인터넷망을 분리하는 보안 규제다.

이에 대해 이 위원장은 "AI를 막으려면 결국 AI를 쓸 수밖에 없다"며 “망분리 규제를 어떻게 개선할지 단계적이고 효과적인 방안을 살펴보고 있다”고 설명했다.

규제 완화를 위해 도입한 AI 보안 관련 특례도 현장에서 충분히 활용되지 못하고 있다는 지적이 이어졌다. 박 의원은 “참여 자격이 있는 금융회사 49곳 가운데 신청한 곳은 20곳에 불과하고, 실증기간도 1년으로 제한돼 장기적인 보안 투자를 유도하기 어렵다”고 지적했다.

보안 사고 발생 이후 추가 피해를 차단하기 위한 제도 개선 필요성도 제기됐다. 이강일 더불어민주당 의원은 유출된 계좌번호와 식별정보 등을 변경하는 방안을 제안했고, 이 위원장은 “검토하겠다”고 답했다.

한편 금융권 해킹 사고를 둘러싼 책임 추궁은 은행 최고경영진으로 확대될 전망이다. 국회 정무위원회는 이날 이환주 KB국민은행장과 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장 등 5대 은행장을 국정감사 증인으로 추가 채택했다.

이들은 오는 19일 금융감독원 국정감사에서 해킹 사고와 개인정보 보호체계 등에 관한 질의를 받을 예정이다.