[기자수첩] 4년 만에 나란히 선 은행장들이 남긴 것

[아이뉴스24 임우섭 기자] 국회 정무위원회는 지난 19일 금융감독원 국정감사에 5대 시중은행장을 모두 증인으로 불렀다. 잇따른 해킹사고로 고객정보가 유출되면서 은행권의 부실한 보안 관리와 최고경영자(CEO)의 책임을 따져 묻기 위해서였다. 최고정보보호책임자(CISO)가 아닌 은행장들을 직접 불러 세운 것은 보안 사고를 실무진의 잘못으로만 돌리지 않겠다는 메시지로 읽혔다.

이날 국감에서는 은행권의 허술한 보안 관리와 사고 대응 실태가 도마에 올랐다. 신한은행과 하나은행은 해킹 공격을 인지하기까지 각각 15시간 26분, 41시간 44분이 걸렸다. KB국민은행은 최초 공격을 탐지하고도 추가 유출을 막지 못했다는 지적을 받았다. 국민은행과 NH농협은행의 지난해 정보보호 예산 집행률은 각각 58%, 53%에 그쳤다.

은행장들이 내놓은 대책은 보안 투자 확대와 인력 확충, 시스템 고도화, 피해 배상 약속 등이었다. 금융당국은 이미 외부 노출 시스템에 대한 긴급 점검을 지시했고 은행들도 국감에 앞서 자체 보안 강화 방침을 잇달아 내놓았다. 막상 국감장에서 나온 답변은 그동안 반복해 온 대책의 재확인에 가까웠다.

문제는 그다음이다. 정보보호 예산 집행률이 저조했다면 예산이 부족했던 것인지, 배정된 예산조차 제대로 쓰지 못한 것인지부터 따져 물었어야 했다. 최초 공격을 탐지하고도 추가 유출을 막지 못했다면 어느 단계에서 대응이 실패했고 누가 이를 바로잡을 책임이 있는지도 짚었어야 했다. 피해 배상 역시 고객의 입증 부담을 어떻게 줄이고 어떤 기준으로 보상할 것인지 확인했어야 한다. 은행장들을 불러놓고도 이런 질문에 대한 구체적인 답과 개선 시한을 끌어내지 못한 것은 아쉬운 대목이다.

금융회사 보안 사고는 이제 전산부서만의 문제로 보기 어렵다. 은행권에 책무구조도가 도입된 것도 경영진의 내부통제 관리 책임을 명확히 하기 위해서다. 국회가 실무 책임자가 아닌 은행장을 불러 세웠다면 보안 위험을 어떻게 보고받고 관리했는지, 사고 이후 어떤 경영 판단을 내렸는지에 관한 답을 얻어낼 필요가 있었다.

국회가 4년 만에 5대 시중은행장을 한자리에 불러 세운 만큼 그 이상의 결과가 필요했다. 금융소비자에게 중요한 것은 은행장들의 사과 횟수나 의원들의 질책 수위가 아니다. 사고 이후 무엇이 바뀌고, 같은 사고를 막기 위한 조치가 언제 완료되는지다.

사과는 책임의 시작이지 끝이 아니다. 은행장 다섯 명을 한자리에 세워놓고도 그 답을 얻어내지 못했다면, 이번 국감은 책임을 묻는 자리가 아니라 사과를 듣는 자리로 끝난 셈이다.