은행, 증권, 보험, 카드 등 4대 금융업계의 116개사가 지난해 정보 보호 예산을 전년 대비 평균 22.4%가량 줄인 것으로 나타났다. 도이치증권은 지난해 정보기술(IT) 보안(정보 보호) 인력이 단 한 명도 없는 것으로 확인됐고, 우리카드는 보안 인력이 2명(IT 인력의 3%)에 불과해 전자금융거래법(보안 인력은 IT 부문 인력의 5% 이상)을 위반한 것으로 드러났다. 금융사 최고경영자(CEO)의 관심 부족과 수익성 논리에 치우친 결과로 해석된다.

서울신문이 28일 이노근 새누리당 의원실을 통해 입수한 금융감독원의 ‘금융사 IT 보안 예산 및 IT 보안 인력 현황’ 자료에 따르면 지난해 금융권 116개사의 정보 보호 예산은 평균 79억 5000만원으로 전년(102억 5000만원) 대비 22.4% 감소했다. 지난해 정보 보호 예산 141억원을 책정한 은행권(18개사)의 삭감 폭이 가장 컸다. 2012년(218억원) 대비 35.3% 깎였다. 증권업계(49개사)와 보험업계(41개사), 카드업계(8개사)의 지난해 정보 보호 예산도 전년 대비 각각 14.8%, 14.0%, 3.5% 줄었다. 규모로는 증권사가 지난해 평균 23억원으로 가장 적었고 보험(43억원)과 카드(111억원), 은행(141억원) 순이었다.

보안 인력도 빈약했다. 지난해 은행권의 IT 인력은 업체당 평균 387명으로 이 중 보안 인력은 24명(6.2%)이었다. 전자금융거래법상 보안 인력은 ‘IT 인력의 5% 이상’(5% 룰)이어야 한다는 조건을 겨우 충족했다. 그러나 내용을 들여다보면 ‘눈 가리고 아웅하는 격’이라는 지적이 나온다. 보안 인력에는 단순한 PC 유지·보수 인력과 네트워크 유지·보수 인력도 포함됐기 때문이다. 보안 인력의 ‘5% 룰’을 맞추기 위한 꼼수라는 얘기다. 이기웅 경제정의실천시민연합 경제정책팀 부장은 “고객 정보는 금융사의 큰 자산인데, 이를 책임지는 보안 인력은 절대 수가 부족한 데다 상당수가 외부 용역업체 직원”이라면서 “수익성 논리와 5% 룰에 따르다 보니 기형적인 구조가 만들어졌다”고 지적했다.

증권과 보험, 카드는 더 열악했다. 증권 49개사 중 절반이 넘는 25개사의 보안 인력이 ‘2명 이하’로 나타났다. 도이치증권은 보안 인력이 아예 없었고, 부국증권과 BS투자증권, 맥쿼리증권 등 19개사의 보안 인력은 1명뿐이었다. IBK투자증권과 KTB투자증권 등 5개사도 2명에 불과했다. 보험 41개사 중 농협손해보험과 코리안리재보험, KB생명보험도 보안 인력이 각각 2명이었다. 이번 카드 사태의 주범인 KB국민카드와 롯데카드도 보안 인력이 각각 12명, 15명에 그쳤다.

김경두 기자 golders@seoul.co.kr