# "예산 늘었는데…" 금융권 보안 집행률 뒷걸음, 70% 밑으로 떨어져
금융권의 정보보호 예산 규모는 해마다 증가하고 있지만, 실제 집행 비율은 오히려 감소 추세를 보이고 있다. 최근 3년간의 데이터를 분석한 결과, 8개 주요 은행의 정보보호 예산 편성액은 2023년 3282억원에서 올해 3978억원으로 21% 넘게 늘어났다. 그러나 같은 기간 예산 집행률은 2024년 70.8%에서 2025년 69.0%로 축소되며 70% 선이 무너졌다. 예산 규모가 확대되는 흐름과 반대로 실제 사용 비율이 떨어지는 아이러니한 상황이 벌어지고 있는 셈이다.
이런 가운데 최근 터진 우리은행 고객정보 유출 사고는 금융권 보안 체계의 실효성에 대한 근본적인 의문을 던지고 있다. 해당 사고는 우리은행의 NFT 플랫폼을 구축하는 과정에서 외부 개발업체에 제공된 이용자 정보 1만7551건이 유출된 사건이다. 프로젝트 종료 후에도 정보가 해당 업체에 남아 있었고, 직원이 이를 개발자 플랫폼에 공유하면서 외부로 새나간 것으로 파악됐다. 금융회사와 외부 업체 간 정보 보호 체계의 사각지대가 여실히 드러난 대목이다.
특히 이번 사건은 개인정보 파기 확인서 중심의 사후 관리 방식이 한계에 부딪혔음을 시사한다. 확인서만 받으면 정보가 안전하게 삭제됐다고 믿는 관행이 문제라는 지적이다. 실제 저장매체, 협업 플랫폼, 소스 저장소 등에 정보가 잔존할 가능성을 고려하지 않은 채 형식적인 절차에만 의존해서는 안 된다는 목소리가 업계 안팎에서 나오고 있다. 확인서 제출과 실질적 검증은 별개의 문제로 다뤄져야 한다는 주장이다.
디지털 전환이 가속화되면서 금융권의 취약점도 함께 커지고 있다. 은행, 보험, 증권사 등은 모바일 앱, 마이데이터, AI 서비스, 블록체인, 클라우드 등 다양한 분야에서 외부 업체와의 협업을 확대하고 있다. 고객 정보가 여러 시스템과 업체를 거쳐 처리되는 구조에서는 데이터 생애주기 전반에 걸친 통제가 필수적이다. 여기에 AI 기반의 정교한 사이버 위협까지 더해지면서 기존 보안 체계만으로는 한계가 있다는 지적도 제기된다.
업계 전문가들은 보안 예산의 단순 확대보다 집행력을 높이는 방안이 우선돼야 한다고 입을 모은다. 외부 위탁 업무에서는 개인정보 제공 범위를 최소화하고, 실데이터 접근을 통제하며, 저장매체 점검과 삭제 로그 확인이 함께 이뤄져야 한다는 설명이다. 금융감독원 제출 자료를 분석한 이양수 의원실 관계자는 "금융회사가 수탁업체의 개인정보 관리를 책임 있게 확인하지 않으면 유사 사고가 반복될 수밖에 없다"고 강조했다. 보안의 핵심은 예산 편성이 아니라 실제 위험을 줄이는 데 있다는 점을 재확인한 셈이다.
