'금융권 해킹' 과징금 칼 뺀 당국…보안 투자 확대 이어질까

위반별 과징금 차등…대규모 유출 땐 최대 100% 가중

저축은행 CISO 9명 중 4명 전담…보안 인력·예산 부족

"사후 제재만으론 한계…보안 투자·대응 역량 확충해야"

해당 이미지는 AI로 제작됨.

최근 금융권에서 해킹 사고가 잇따르는 가운데 금융당국이 신용정보법 위반 과징금 산정기준을 강화하면서 실질적인 보안 투자 확대로 이어질지 관심이 쏠린다.

다만 보안 전담 인력과 예산이 충분하지 않은 제2금융권에서는 처벌 강화만으로 실질적인 보안 수준을 끌어올리기 어렵다는 지적도 나온다.

23일 금융권에 따르면 금융위원회와 금융감독원은 지난 21일 제18차 금융위원회 정례회의에서 '신용정보법 감독규정 일부 개정안'을 의결했다.

핵심은 과징금 부과기준율을 위반 행위의 중대성에 따라 세분화한 것이다.

과징금 부과기준율은 위반 행위의 중대성에 따라 ▲중대성이 약한 위반 1~30% ▲중대한 위반 30~65% ▲매우 중대한 위반 65~100%로 세분화했다.

기존에는 50%·75%·100%의 3단계로 구분돼 위반 행위의 중대성을 유연하게 반영하기 어려웠다.

또 대규모 신용정보 유출이나 반복 위반 등 사회적 영향이 큰 행위에 대해서는 기본과징금의 100%까지 가중할 수 있도록 했다. 개정안은 이날부터 시행된다.

이번 조치는 최근 금융권에서 해킹 사고가 잇따르면서 금융사의 정보보호 책임과 관리 체계를 강화해야 한다는 요구가 커진 가운데 마련됐다.

신한·KB국민·하나·BNK부산은행 등 은행권에 이어 예가람·웰컴·DB·OK저축은행 등 저축은행에서도 침해사고가 확인됐다.

현대캐피탈과 산은캐피탈, 새마을금고중앙회 등에서도 사고가 발생하면서 금융사들의 정보보호 체계 전반을 점검해야 한다는 목소리가 커졌다.

이에 당국은 금융사 보안 체계를 점검하는 한편 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고정보책임자(CIO) 간 보고 체계와 책임 범위도 들여다보고 있다.

보안 사고가 발생했을 때 대응 절차가 제대로 작동했는지, 정보보호 책임자가 실질적인 권한을 갖고 있는지 등을 확인하겠다는 취지다.

문제는 제재 강화가 곧바로 보안 역량 확충으로 이어지기는 어렵다는 점이다.

특히 상대적으로 규모가 작은 저축은행 등 제2금융권은 전담 인력과 예산, 보안 시스템에 투자할 여력이 대형 은행보다 제한적일 수 있다.

강민국 국민의힘 의원실이 금융감독원에서 제출받은 자료를 보면 지난 6월 말 기준 저축은행의 CISO는 9명으로, 이 가운데 해당 업무만 전담하는 인력은 4명에 그쳤다.

은행의 CISO 전임 비중이 90%인 것과 비교하면 보안 책임자가 해당 업무에 집중할 수 있는 여건에 차이가 있다.

금융권 전반의 정보보호 인력 비중도 정체 상태다.

7개 금융업권의 정보기술(IT) 인력 2만7508명 가운데 정보보호 인력은 2654명으로 9.6%를 차지했다.

전체 IT 인력 대비 정보보호 인력 비중은 2023년 말과 2024년 말 각각 9.0%, 2025년 말 9.1%로 최근 수년간 비슷한 수준에 머물렀다.

이번 개정안으로 과징금 부담이 커지면 금융사들이 보안 소홀에 따른 비용과 위험을 더 무겁게 인식해 투자를 늘릴 유인이 생길 수 있다.

그러나 제재 대응에 인력과 예산이 집중되면 취약점 개선이나 보안 시스템 고도화 등 사고 예방을 위한 투자가 뒷전으로 밀릴 가능성도 있다.

제재의 실효성을 높이려면 위반 행위에 대한 책임을 묻는 동시에 금융사들이 실제 보안 역량을 갖출 수 있도록 뒷받침해야 한다는 지적이다.

서지용 상명대 경영학부 교수는 "사후 제재 강화는 보안 소홀을 억제하는 효과가 있지만, 처벌만으로 보안 역량이 생기는 건 아니다"며 "서류상 준수보다 취약점 개선과 탐지·복구 능력을 평가하고, 고의적 은폐·반복 위반과 충분한 예방조치에도 발생한 사고를 구분해야 한다"고 말했다.

이어 "인력·예산이 부족한 금융사는 제재 대응에 자원이 쏠릴 우려가 있다"며 "최소 보안기준은 유지하되 공동 보안관제·전문인력 양성·취약점 진단을 지원하고, CISO의 독립성과 예산 권한을 보장해야 한다"고 조언했다.