회원사 분담금으로 운영되는 금융보안원이 해킹으로 금융사에서 제출받은 자료를 유출하면서 기관의 보안 역량과 업무 범위가 도마에 올랐다. 금융의 사이버 위협에 공동 대응하기 위해 출범한 전문기관이 자체 평가 시스템 보안을 지키지 못했다.
금융보안원은 2015년 금융결제원과 코스콤의 정보공유분석센터, 금융보안연구원의 기능을 통합해 출범했다. 금융회사별로 대응하기 어려운 위협에 대비해 보안관제와 침해사고 대응, 취약점 분석을 한곳에 모았다. 이번에 보안이 뚫린 '정보보호 상시평가 지원시스템'은 금융회사가 보안 관리 실태를 평가받기 위해 자료를 제출하는 곳이다. 금융사의 정보 보호 수준을 평가하는 업무에서 정작 평가기관이 보관하던 자료가 외부로 유출된 것이다.
금융보안원이 보안 밖으로 업무를 넓히면서 신용정보원·금융결제원 등 유관기관과의 역할 구분도 모호해졌다. 금융데이터거래소가 대표적이다. 유관기관도 금융데이터 관련 업무를 수행하는 가운데 금융보안원은 2020년 별도 거래소를 열었지만, 박상혁 더불어민주당 의원실이 금융보안원에서 받은 자료에 따르면 2024년 유료 거래는 3건, 거래액은 1498만원에 그쳤다.
이번 해킹 사고로 박상원 금융보안원장의 보안 전문성과 경영 책임이 도마에 올랐다. 박상원 원장은 금융감독원에서 금융그룹 감독과 기획·경영, 중소서민금융 업무를 맡았으나 사이버보안이나 침해사고 대응 실무 경험은 전무하다. 금융권의 보안 수준을 평가하고 침해사고 대응을 지원하는 전문기관의 수장이 정작 보안 실무 경험이 없어, 기관 핵심 업무를 이끌 전문성이 부족하다는 비판을 피하기 어렵다. 내부 보안 위험을 관리할 책임 역시 박상원 원장에게 있다는 평가가 나온다.
금융보안원은 오는 12일 서울 여의도에서 '다음 금융을 위한 오늘의 전략'을 주제로 금융정보보호 콘퍼런스 '피스콘 2026'을 연다. 인공지능(AI) 시대의 사이버 위협과 금융권의 대응 전략을 논의하는 행사다. 그러나 행사 사흘 전 자체 시스템에서 정보 유출이 발생하면서, 금융보안원이 금융권의 보안 전략을 제시할 역량을 갖췄는지에 대한 의문이 커지고 있다.
업계 관계자는 “금융보안원이 콘퍼런스에서 이번 사고에 대해 사과하고 유출 경위와 재발 방지 대책을 먼저 밝힐지가 관심사”라며 “금융위원회와 금융기관은 물론 자료가 유출된 금융사도 초청한 만큼, 미래 보안 전략을 말하기에 앞서 이번 사고를 어떻게 책임질지부터 설명해야 한다”고 말했다.
박두호 기자 walnut_park@etnews.com
