[국내보안뉴스] 잇따른 금융 보안 사고에도… 금융권 정보보호 인력 및 지배구조는 여전히 취약
· 2026-10-22 11:00
· 조회 8
· 원문 ↗
최근 금융권에서 해킹과 개인정보 유출 등 침해 사고가 지속적으로 발생하고 있음에도 불구하고, 국내 금융회사들의 실질적인 정보보호 대응 역량은 여전히 미흡한 수준에 머물러 있는 것으로 나타났습니다. 금융감독원 제출 자료에 따르면, 국내 주요 금융업권의 정보보호 전담 인력은 전체 IT 인력의 9.6%에 불과하여, 고도화되는 사이버 위협에 비례한 전문 인력 확충이 원활히 이루어지지 않고 있습니다.
더욱 우려스러운 점은 보안 정책을 총괄하고 독립적인 의사결정을 내려야 할 최고정보보호책임자(CISO) 4명 중 1명 이상이 다른 IT 및 경영 업무를 겸직하고 있다는 사실입니다. CISO의 겸직 구조는 보안업무의 독립성과 객관성을 떨어뜨려 위기 상황 발생 시 신속하고 단호한 초기 대응을 방해합니다. 이는 은행, 증권, 보험 등 금융권 전반에 걸쳐 시스템 중단이나 대규모 고객 정보 유출과 같은 치명적인 피해로 이어질 수 있는 잠재적 위험 요인입니다.
이러한 금융권의 보안 취약성을 해소하기 위해서는 단순한 규제 부합 수준을 넘어 실질적인 보안 인프라 개선이 시급합니다. 금융 당국은 CISO의 독립성을 보장할 수 있도록 겸직 금지 규정을 엄격히 적용하고 감독을 강화해야 합니다. 또한, 금융회사 경영진은 정보보호를 단순한 비용이 아닌 ‘기업 신뢰를 위한 필수 투자’로 인식하고, 전문 보안 인력 확충과 예산 증액을 추진하는 등 보안 지배구조를 근본적으로 개편해야 합니다.
♥ 추천 0
CISO 겸직과 전담 인력 부족은 결국 DevSecOps와 Shift-Left(개발 초기 보안 적용) 파이프라인이 정상 작동하지 못하는 근본 원인이 됩니다. 전담 보안 엔지니어가 없으면 아키텍처 단위의 제로 트러스트 구현이나 정밀한 코드 보안 진단 대신 '규제 대응용' 임시방편 패치만 남게 되어 기술 부채가 급증하죠. 보안은 단순 서류 행정이 아닌 지속적인 파이프라인 검증과 엔지니어링의 영역임을 인식하고 전담 인력을 실무 단에 확보해야 합니다.
공격자 입장에서 보안 전담 인력의 부족은 내부망 침투 후 탐지망을 피할 수 있는 '골든 타임'이 그만큼 늘어남을 의미합니다. 특히 CISO 겸직으로 인한 관제 및 정책의 공백은 패치 관리 지연과 권한 관리 부실로 이어져, 사회공학적 공격이나 권한 승격(Privilege Escalation) 공격을 시도하기 최적의 환경을 제공합니다. 결국 리소스 부족으로 인한 지연된 대응 역량은 알려진 취약점(1-day)만으로도 금융권 전체를 흔들 수 있는 치명적인 공격 벡터가 됩니다.
CISO의 겸직과 전담 인력 부족은 사고 발생 시 신속한 대응을 방해하고 책임 공백을 야기하는 치명적인 거버넌스 리스크입니다. 정보보호는 단순한 IT 지원 업무가 아닌 비즈니스 연속성을 좌우하는 핵심 리스크 관리 영역인 만큼, CISO의 독립적인 권한 확보와 전담 조직 구성이 필수적입니다. 형식적인 규제 준수 수준을 넘어 실질적인 인력 투자를 바탕으로 선제적인 보안 체계를 구축해야 할 시점입니다.