3년 연속 예산 증액에도 집행률은 지속 하락
정보보호 사고 없었던 은행권, 관련 인력·예산 확보에 어려움
최근 해킹 사고 터지자 "정보보호 예산 확대 편성" 발표
은행권의 정보보호 예산 집행률이 최근 3년간 하락세를 보인 것으로 나타났다. 예산 편성 규모는 확대됐지만 집행은 이를 따라가지 못하면서 지난해에만 1200억원이 넘는 예산이 집행되지 않았다. 최근 금융권에서 해킹과 고객정보 유출 사고가 잇따르면서 그동안 비용 절감의 대상으로 여겨졌던 보안투자를 확대하려는 움직임이 본격화하고 있다.
12일 이양수 국민의힘 의원실이 금융감독원에서 제출받은 자료에 따르면 KB국민·신한·하나·우리·NH농협·카카오·케이·토스뱅크 등 8개 은행의 지난해 정보보호 예산 집행률은 69.0%로 집계됐다. 2023년 74.5%, 2024년 70.8%에 이어 2년 연속 하락했다. 지난해 편성된 예산 3978억원 중 실제 집행액은 2744억원으로 1234억원이 집행되지 않았다.
은행권의 정보보호 예산은 2023년 3282억원에서 지난해 3978억원으로 2년 새 21.2% 증가했지만 집행액은 2446억원에서 2744억원으로 12.2% 늘어나는 데 그쳤다. 이에 따라 미집행액도 2023년 약 835억원에서 지난해 1234억원으로 증가했다.
KB국민은행은 지난해 예산 676억원 중 393억원을 집행해 집행률이 58.1%에 그쳤다. NH농협은행은 753억원 중 481억원(63.9%), 신한은행은 453억원 중 317억원(69.9%)을 집행했다.
하나은행은 5대 은행 중 유일하게 정보보호 예산이 2023년 551억원에서 지난해 530억원으로 3.8% 감소했다. 반면 우리은행은 523억원에서 787억원으로 50.5% 증가했다. 정보보호 인력도 KB국민은행은 95명에서 85명으로 10.5% 줄어든 반면 우리은행은 76.5명에서 101명으로 32.0%, 신한은행은 85.25명에서 94.78명으로 11.2%, 하나은행은 72명에서 79명으로 9.7% 늘었다.
다른 금융업권과 비교해도 은행권의 집행률이 가장 낮았다. 지난해 정보보호 예산 집행률은 카드 90.5%, 증권 82.0%, 생명보험 75.3%, 손해보험 104.2%로 집계됐다. 다만 예산 미집행이 모두 투자 축소를 의미하는 것은 아니다. 사업 일정이나 계약금액 등에 따라 차이가 발생할 수 있다.
최근 잇단 해킹 사고는 은행 내부의 보안 투자 인식에도 변화를 가져오고 있다. 그동안 비용 효율화와 조직 슬림화가 추진되는 과정에서 보안 인력과 예산 확대가 쉽지 않았다. 금융권 일각에서는 이번 사고를 계기로 보안 인력과 예산을 확충할 수 있게 돼 오히려 다행이라는 말까지 나온다. 당장 사고가 발생하지 않으면 투자 효과를 입증하기 어려운 만큼 이번 사태가 보안투자 확대의 계기가 될 수 있다는 평가다.
한 시중은행 관계자는 "그동안 은행들은 손익이 증가하는 과정에서 보안 예산도 분명 늘려왔지만 심각한 보안 사고가 발생하지 않다 보니 비용 효율화 측면에서 접근한 부분이 있었다"며 "사고가 나지 않으면 조직은 점점 축소되고 비용을 절감할 수밖에 없다. 보안뿐 아니라 모든 부분에서 인원이 감축되고 조직도 축소되는 상황이었다"고 했다.
독자들의 PICK!
은행들은 보안체계 점검과 투자 확대에 나서고 있다. 신한은행은 예산 운영 방향과 투자 분야를 재검토하고 정보보호 예산을 업계 최고 수준으로 편성할 방침이다. 신한은행 관계자는 "금융위원장이 강조한 바와 같이 보안을 단순한 비용이 아닌 투자로 인식하고 정보보호 체계를 실질적으로 강화할 수 있는 다양한 사업을 검토하고 있다"고 밝혔다.
하나은행은 사고 인지 직후 정보유출 대응 태스크포스(TFT)를 구성하고 외부 전문가를 포함한 전담팀을 통해 시스템 긴급 점검에 나섰다. AI 기반 지능형 사이버 보안체계 구축을 위한 지출도 확대할 예정이다.
KB국민은행도 개인정보 유출사고 대응 TFT를 구성해 운영 중이며 내년도 정보보호 예산을 1000억원 이상 대폭 확대 편성할 계획이다. AI 활용 보안 위협에 대응하기 위한 약 51억원 규모의 신규 보안 사업을 연내 완료 목표로 진행하고 있다.
금융권에서는 예산 확대뿐 아니라 보안체계의 실효성도 중요하다고 지적한다. 한 은행권 관계자는 "결국 보안 문제를 발견하고 모니터링하는 것이 중요하다"며 "시스템 개발이나 유지보수 과정에서 '설마 이런 부분까지 문제가 되겠느냐'는 안일한 생각이 있었을 수 있다. 내부 인력도 방심한 측면이 없는지 돌아봐야 한다"고 했다.
이어 "이번 일을 계기로 정보보안에 대한 패러다임이 완전히 바뀔 것 같다. 예산부터 인력까지 달라질 것"이라며 "보안 예산을 제대로 투입하고 이런 부분에서는 아끼면 안 된다는 인식을 가져야 한다"고 강조했다.
