4대 은행 내년 정보보호 예산 4000억원 육박
AI 기반 해킹 고도화, 방어 시스템 투자 경쟁

은행별 예산 집행률 60~87%...실행 속도 차이
전문인력 확충은 제자리, CISO 체계도 점검 대상

은행권의 보안 투자가 규모와 운영 방식 모두에서 새로운 전환점을 맞고 있다. 해킹과 개인정보 유출 사고에 대응해 4대 시중은행이 내년 정보보호 예산을 4000억원에 육박하는 수준으로 늘렸다. 다만 은행별 집행률에 차이가 있는 데다 보안 전문인력과 책임 조직의 운영 방식도 제각각이어서 예산 확대 이후의 관리 역량이 중요하다는 지적이다.

11일 금융권에 따르면 4대 은행은 내년 정보보호 예산을 일제히 확대하거나 증액을 추진하고 있다.

신한은행은 내년 정보보호 예산을 1150억원으로 편성했다. 올해 406억원과 비교하면 약 2.8배 늘어난 규모다. KB국민은행도 내년 정보보호 예산을 1000억원 이상으로 확대하는 방안을 추진하고 있다. 하나은행은 1001억원, 우리은행은 763억원을 편성했다.

4대 은행의 내년 정보보호 예산을 단순 합산하면 4000억원에 육박한다. 은행권에서 대규모 해킹과 개인정보 유출 사고가 잇따르면서 보안 투자를 더 이상 선택이 아닌 필수 경영 과제로 인식한 결과로 풀이된다.

은행별 투자 방향에는 차이가 있다. 신규 보안 기술 도입과 침투 방어 등을 위한 연구개발(R&D) 예산은 하나은행이 837억원으로 가장 많았다. 우리은행은 200억원, 신한은행은 316억원을 배정했다. KB국민은행은 167억원을 편성했으며 향후 변경될 가능성이 있다.

보안 예산 확대는 금융권 전반으로 확산하는 추세다. 최근 금융회사 임직원과 고객 정보가 유출되는 사고가 이어지면서 기존 보안 시스템을 점검하고 새로운 방어 기술을 도입하려는 움직임이 커지고 있다. 특히 인공지능(AI)을 활용한 사이버 공격과 해킹 수법이 고도화하면서 기존 시스템만으로는 대응에 한계가 있다는 우려도 나온다.

금융당국 역시 보안 투자를 경영진의 핵심 책임으로 규정하고 관리·감독을 강화하고 있다. 이억원 금융위원장은 지난 5일 전 금융권 간담회에서 “보안은 최고경영자가 직접 책임져야 할 핵심 경영과제"라며 “중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 강조했다.

다만 예산을 늘리는 것만으로 보안 수준이 개선되는 것은 아니다. 편성한 예산이 실제 사업으로 이어지는 집행 속도와 활용도가 중요하다는 지적이다. 보안 시스템 구축과 전문인력 확보 등 구체적인 사업에 예산이 적기에 투입되지 않으면 투자 확대 효과를 체감하기 어렵기 때문이다.

실제 은행별 정보보호 예산 집행률에도 차이가 나타났다. KB국민은행은 올해 정보보호 예산 861억원 가운데 520억원을 집행할 것으로 예상했다. 집행률은 60.4% 수준이다. 하나은행은 상반기 예산 318억원 중 239억원을 집행해 75.3%의 집행률을 기록했다. 우리은행은 전체 예산 616억원 가운데 536억원을 집행할 것으로 예상해 87.0%로 상대적으로 높은 수준을 보였다.

KB국민은행은 예산 편성 과정에서 일정 수준의 여유 재원을 반영하고 있으며 실제 사업 추진 과정에서 시장 가격과 계약 단가 등을 고려해 집행액이 조정된다고 설명했다. 집행률이 낮다고 해서 보안 투자가 미흡한 것은 아니라는 입장이다.

보안 전문인력 확충과 의사결정 체계 개선도 과제로 꼽힌다. KB국민은행은 올해 IT 인력 1673명 가운데 보안 전문인력이 17명으로 전산직 대비 1% 수준에 그쳤다. 신한은행은 6%, 우리은행은 5.6%로 집계됐다. 예산 규모뿐 아니라 실제 보안 업무를 수행할 전문인력과 이를 뒷받침할 조직 역량도 함께 강화해야 한다는 의미다.

정보보호최고책임자(CISO)의 겸직 문제도 확인됐다. 4대 은행 모두 CISO가 개인정보보호책임자(CPO) 등 다른 직책을 함께 맡고 있는 것으로 나타났다. 은행별로 CISO의 업무 범위와 보안 관련 의사결정 참여 수준에도 차이가 있는 것으로 파악됐다.

금융권 관계자는 “보안 예산을 늘리는 것도 중요하지만 실제 필요한 분야에 얼마나 신속하고 효율적으로 집행하느냐가 더 중요하다"며 “예산 확대가 일회성 대응에 그치지 않고 보안 인력과 시스템 확충, 내부 통제 강화 등 실질적인 보안 역량 개선으로 이어져야 한다"고 말했다.

박지성 기자 captain@ekn.kr