[더팩트ㅣ김정산 기자] 금융권을 중심으로 해킹 사고 재발 방지 대책 논의가 활발해진 가운데 IT업계도 적극적으로 동참해야 한다는 목소리가 나온다. 보안 솔루션을 직접 개발·공급하고 유지보수를 담당하는 업체들이 정작 대책 마련 과정에서는 빠져 있다는 지적이다. 지난 국정감사에서 5대 은행장이 모두 증인으로 출석한 것과 달리 솔루션 업체 경영진은 책임 논의의 전면에 등장하지 않았다는 점에서도 대조적이라는 평가다.

5일 금융권에 따르면 금융위원회는 지난달 금융권 침해사고 재발 방지를 위해 보안 관리체계 전면 강화 계획을 발표했다. 금융사 보안체계와 관리시스템을 전수 점검하고, 외부 접점과 인증·접근통제를 정비한다. 보고체계와 책임 범위를 명확히 하겠다는 것이 주요 골자다.

지난 3일 이찬진 금융감독원은 임원회의에서 금융회사의 대응 미흡을 짚었다. 사고 전 통합관제시스템(FIRST)을 활용한 보안통제와 외부 접점 관리를 안내했고, 사고 후에는 전 금융권 긴급 체크리스트 점검까지 진행했지만 현장 변화가 충분치 않다는 진단이다. 이 원장은 최고경영인(CEO)과 이사회가 보안 예산·인력 확충을 주도해야 한다고 강조했다.

금융권 침해사고 대응도 사고 책임을 따지는 데서 재발 방지책을 마련하는 단계로 넘어가는 분위기다. 내부 점검을 강화하는 데 그치지 않고 제재 수위를 높여야 한다는 논의도 이어지고 있다. 금감원은 최근 해킹 사고가 발생한 금융회사에 매출액의 최대 3%까지 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정을 추진하겠다고 밝혔다. 법 개정 전에도 사고 발생 여부 등에 따라 감독분담금을 차등 부과하는 방안을 검토하고 있다.

그러나 금융권에서는 '반쪽짜리' 대책이라는 지적도 나온다. 정작 보안 일선에 있는 솔루션 업체의 역할과 책임에 관한 논의에서 빠져 있다는 것이다. 금융당국뿐 아니라 범정부 차원에서 IT업계도 재발 방지 논의에 참여시켜야 한다는 주장이다.

통상 금융회사의 보안 업무는 내부 담당자와 외부 솔루션 업체에서 파견된 인력이 함께 수행한다. 금융회사 내부 인력이 보안 관리와 상시 점검을 맡는다면 외부 인력은 솔루션 전문성을 바탕으로 교육과 기술 지원, 유지보수 등을 담당하는 구조다. 금융회사 내부의 관리 책임뿐 아니라 솔루션 공급·운영 과정에서 발생할 수 있는 문제까지 함께 살펴야 실효성 있는 대책을 마련할 수 있다는 설명이다.

실제로 금융당국의 대책은 △금융회사 내부의 보안 운영 △취약점 관리 △경영진 책임 등 3가지로 추려진다. 범정부 차원에서 보안 솔루션을 개발·공급하거나 유지·보수하는 IT업체에 관한 책임 논의는 빠져있는 셈이다. 최근 국정감사에서 5대 은행장이 모두 증인으로 출석했지만, 솔루션 업체 경영진이 같은 자리에 불려 책임을 따진 사례는 없었던 것도 대비되는 양상이다.

한 금융권 관계자는 "솔루션은 보안 영역에 있어 무기이자 방패 역할을 하는 것이다. 애써 장비를 사용한 주체는 재발방지에 골머리를 앓고 있는데 정작 판매한 주체는 관련 논의에서 빠져있는 상황이다"라고 말했다.

IT업계 내부에서도 솔루션 업체의 참여 필요성을 놓고 의견이 엇갈린다. 사고 원인과 대응 과정을 살펴볼 때 공급사의 역할도 함께 점검해야 한다는 쪽에서는 개별 금융회사에 책임을 집중하기보다 보안업계 협회와 주요 기업 CEO가 한자리에 모여 개선책을 논의할 필요가 있다고 본다.

반면 IT업계가 별도의 논의 주체로 나설 필요성은 크지 않다는 시각도 있다. 금융당국을 중심으로 재발 방지 대책과 내부 보안 점검 강화가 이미 논의되고 있는 만큼, 금융회사에 강화된 점검·관리 의무가 부과되면 솔루션 운영과 유지보수를 맡는 업체에도 자연스럽게 더 높은 수준의 요구가 뒤따를 수밖에 없다는 설명이다. 별도의 공개 논의보다는 기존 점검 체계 안에서 보완 사항을 이행하는 것이 현실적이라는 입장이다.

다만 사고 발생 초기 공동 책임론에는 공감하는 분위기다. 솔루션사 CEO들도 공식 석상에 나서 책임을 함께했다면 업계 전반의 경각심을 높이고 보안 관리도 한층 강화했을 것이란 시각이다. 아울러 업계 일각에서는 사고 발생 초기 직접적인 논의 대상에서 비켜서면서 안도하는 분위기도 감지된다고 설명했다.

한 보안업계 관계자는 "금융사뿐 아니라 특정 기업의 솔루션을 이용하는 기업에서 침해 사고가 발생하면 관리 일선에 있는 IT회사에도 책임이 있다고 볼 여지는 충분하다"라며 "내부적으로 보상안 등에서 책임을 분배할 수는 있겠지만, 재발방지를 위해선 공론화된 자리에서의 논의도 요구된다고 본다"라고 말했다.

kimsam119@tf.co.kr