[아주사설│기본·원칙·상식] 금융보안원마저 뚫렸다, 감독 책임까지 물어야

[사진=연합뉴스]

금융회사가 개인정보를 제대로 보호하는지 확인하려고 모은 자료에서 개인정보가 유출됐다. 지난 9일 금융보안원의 정보보호 상시평가 시스템에서 해킹에 따른 정보 유출이 확인됐다. 금융권 보안을 점검하는 기관의 방어 능력은 누가 검증했는가. 금융당국은 이번 사고를 개별 시스템의 문제로 끝내서는 안 된다.

유출된 자료에는 행정서식에 담긴 이름·생년월일 등 개인정보 300여건과 이름·전화번호 일부가 가려진 시스템 이용자 정보 350여건 등이 포함됐다. 금융보안원은 금융회사 시스템 구성도와 주민등록번호·개인신용정보 등 고객 민감정보는 유출되지 않았다고 설명했다. 사고 범위는 정확히 구분해야 한다. 그러나 일부 식별정보를 가렸더라도 이메일 등은 사칭과 피싱에 악용될 수 있다. 금융거래 정보가 아니라고 피해를 가볍게 봐서는 안 된다.

금융보안원은 올해 약 3000개 금융회사를 상대로 접근권한과 접속기록, 암호화, 침입 탐지·차단 등을 중점 점검하겠다고 밝혔다. 연합뉴스는 해커가 권한 승인 취약점을 악용해 금융감독원 권한의 허위 계정으로 자료에 접근했다고 보도했다. 사실이라면 금융사에 요구한 기본 통제를 스스로 지키지 못한 셈이다. 조사로 확인하되 고도화된 공격이라는 설명으로 책임을 흐려서는 안 된다.

모든 공격을 막는 완벽한 보안은 어렵다. 그렇다고 전문기관의 사고를 불가피한 일로 넘길 수는 없다. 원인 조사에는 외부 전문가가 참여해 침입 경로와 탐지·차단까지 걸린 시간을 검증해야 한다. 복구 때는 취약점이 실제로 제거됐는지 재시험해야 한다. 개선 계획을 제출했다는 이유로 점검을 끝내서는 안 된다.

평가를 위해 개인정보가 담긴 서식을 모은 절차도 살펴야 한다. 실제 인적사항이 필요했는지, 가상의 정보나 식별정보를 지운 자료로 대체할 수 없었는지 확인할 일이다. 수집할 정보와 접근권한은 최소화하고 보관할 필요가 끝난 자료는 지워야 한다. 개인정보 보호를 확인하는 과정이 새로운 유출 위험을 만들어서는 안 된다.

금융위원회와 금융감독원은 11일 현장점검에 착수했다. 당국은 지난 5일에도 금융권 580여개사의 외부접점과 내부통제 전수점검을 예고했다. 이제는 금융보안원의 보안 수준을 언제, 어떻게 확인했는지도 밝혀야 한다. 해당 시스템이 점검에서 빠졌다면 누락 이유를, 점검을 받고도 뚫렸다면 평가 기준과 검증 방식의 한계를 설명해야 한다. 대책 발표와 점검 지시만으로 감독 책임을 다했다고 할 수 없다.

책임도 실무자에게만 물어서는 안 된다. 경영진이 필요한 인력과 예산을 확보했는지, 위험 보고를 받고도 조치를 미뤘는지 살펴야 한다. 관리 소홀이나 은폐가 확인되면 기관장과 책임자에게 그에 맞는 책임을 물어야 한다. 경영진은 보안에 필요한 투자와 인력을 확보할 책임을 피해자의 주의 의무로 대신해서는 안 된다.

금융보안원은 2차 피해가 발생하면 배상하겠다고 밝혔다. 유출 항목과 위험을 신속히 개별 통지하고 피해 접수 창구와 처리 기한을 제시해야 한다. 유출 경위와 항목 등 피해구제에 필요한 자료도 제공해야 한다. 개인이 금융회사와 기관을 오가며 사실관계부터 확인하도록 내버려둬서는 안 된다.

금융회사에 보안을 요구하는 기관부터 그 기준을 지켜야 한다. 당국은 시정조치의 책임자와 완료 기한을 정하고 이행 결과까지 확인해야 한다. 국민에게 필요한 것은 점검 횟수가 아니라 개인정보를 믿고 맡길 수 있다는 근거다.