금융권 해킹 사태가 보안부서의 기술 문제를 넘어 최고경영자(CEO)의 내부통제 관리책임을 따지는 첫 시험대로 번졌다. 다만 해킹 발생 자체가 곧바로 CEO 제재로 이어지는 것은 아니다. 사고 전 위험관리와 사고 인지 이후 보고·대응체계가 제대로 작동했는지가 핵심 판단 기준이 될 전망이다.

19일 국회 정무위원회의 금융감독원 국정감사에는 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이 증인으로 출석했다.

이찬진 금융감독원장은 김용만 더불어민주당 의원의 질의에 “내부통제 기준 관리 의무와 관련해 사이버보안 해킹 사건에서 최초로 최고경영자(CEO)의 책임 문제가 다뤄지는 사안이 될 것으로 생각한다”고 밝혔다.

국감에서는 특히 해킹 인지 이후 은행의 초기 대응이 쟁점이 됐다.

김 의원은 KB국민은행의 침해사고 이후 추가 공격이 이어진 과정과 대응 속도를 문제 삼았다. 이환주 행장은 “신속하게 차단하지 못한 점은 아쉬움이 남는다”고 답했다.

은행별 경영진 보고시간도 공개됐다. 이양수 국민의힘 의원이 제출받은 자료에 따르면 이상징후 인지 이후 은행장 보고까지 KB국민은행은 81시간41분, NH농협은행 47시간46분, 우리은행 47시간18분, 하나은행 19시간50분, 신한은행은 14시간이 걸렸다.

다만 보고시간만으로 CEO 책임 여부를 단순 비교하기는 어렵다. 공격 대상과 최초 이상징후, 실제 침해 여부 등이 은행마다 달랐기 때문이다.

이번 공격에서 신한·KB국민·하나은행에서는 고객정보 유출이 확인됐지만 우리은행과 NH농협은행은 유사한 공격을 받고도 현재까지 정보유출이 확인되지 않았다.

정진완 우리은행장은 국감에서 피해가 발생하지 않은 데 대해 “운이 좋았다고 생각한다”며 하루 200건 이상의 해킹 시도가 들어오고 있다고 설명했다. 강태영 NH농협은행장도 통합관제시스템을 지속적으로 고도화하겠다고 밝혔다.

책무구조도는 사고 결과 자체보다 임원과 CEO가 맡은 관리의무를 제대로 수행했는지를 따지는 제도다.

은행과 금융지주는 2025년부터 책무구조도를 본격 적용받고 있다. 임원은 맡은 업무의 내부통제와 위험관리가 제대로 작동하도록 관리해야 하고 CEO는 회사 전체 내부통제를 총괄하는 책임을 부담한다.

따라서 금감원 검사의 초점도 해킹 성공 여부만으로 정해지지 않는다.

사전에 취약점을 제대로 관리했는지, 주요 보안위험이 경영진에게 보고됐는지, 사고 발생 이후 차단과 고객보호 조치가 적시에 이뤄졌는지 등을 종합적으로 확인해야 한다.

보안예산도 같은 기준으로 볼 필요가 있다.

국감에서는 일부 은행의 정보보호 예산 집행률이 낮다는 지적이 나왔지만 예산 규모만으로 내부통제 수준을 판단하기는 어렵다. 실제 취약점 점검과 패치, 외부 노출 시스템 관리, 보고·차단 절차가 작동했는지가 더 중요하다.

금융당국 역시 사고가 발생했다는 이유만으로 경영진에게 자동으로 책임을 묻는 구조는 아니라는 입장이다. 관리의무 위반 여부와 위법행위의 중대성, 피해 규모, 반복 가능성 등을 종합해 책임을 판단하도록 하고 있다.

이 원장도 이날 “철저한 원인 규명 등을 통해 보안상 허점을 신속하게 보완하겠다”며 금융회사의 자체 보안역량 강화를 유도하겠다고 밝혔다.

이번 검사의 의미는 개별 은행장 제재 여부를 넘어선다. 책무구조도 시행 이후 사이버보안 사고에서 CEO와 담당 임원의 책임 범위를 구체적으로 판단하는 첫 사례가 될 수 있기 때문이다.

금융당국이 확인할 것은 누가 해킹을 당했느냐보다 위험을 알고도 방치했는지, 사고 이후 조직이 정해진 절차에 따라 움직였는지다. 이번 검사 결과에 따라 금융권 사이버보안에서 경영진이 부담해야 할 관리책임의 기준도 보다 구체화될 전망이다.

토요경제 / 김연수 기자 kys@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]