JP모건체이스와 뱅크오브아메리카(BofA), 씨티, 웰스파고 등 주요 해외 은행들은 망 분리라는 보호막 없이 직접 해킹 세력과 맞부딪히며 보안 역량을 키워왔다. 방화벽(Firewall) 등으로 일부 접근만 허용하면서 기존 보안 체계 한계점을 개선하기 위해 ‘제로 트러스트(Zero Trust)’를 도입한 것이 대표적인 사례다. 제로 트러스트는 아무도 신뢰하지 않는다는 원칙으로 설계된 모델로 내부망 사용자도 지속적으로 검증하는 방식이다. 제로 트러스트 기반 보안 체계를 활용하면 직원들은 시공간 제약 없이 어디서든 업무할 수 있다.
국내는 망 분리 규제로 위험을 제거하는 방식을 써왔다. 성곽 주위에 해자를 두르는 것처럼 외부와의 연결을 아예 끊음으로써 리스크를 최소화한 것이다. 하지만 인공지능(AI)을 도입해 생산성을 높이고 보안을 강화해야 하는 상황이 도래하면서 망 분리가 되레 족쇄가 되고 있다. 실제 한국에서는 AI를 업무에 도입할 때마다 규제 샌드박스를 거쳐야 한다. 금융계의 한 관계자는 “이번 사태는 그동안 금융사들이 망 분리만 믿고 정보 보안 투자에 소극적이었기 때문”이라고 강조했다.
문제는 모든 국내 금융사들이 대대적인 투자를 할 수 없다는 점이다. 올해 상반기 국내 은행의 순이익은 13조 8000억 원에 달한다. 생명보험사는 3조 9254억 원, 손해보험사는 5조 884억 원 수준이다. 전업계 카드사는 상반기에 1조 2934억 원을 벌어들였다.
반면 저축은행은 7658억 원, 신용협동조합은 -1889억 원을 기록했다. 새마을금고는 6768억 원 순손실이다. AI 발전 속도를 감안하면 향후 천문학적인 자금과 인력 투입이 필요한데 금융사별로 여력이 크게 다른 셈이다.
이 때문에 업계에서는 체급별로 보안 대응을 차등화해야 한다는 목소리가 높다. 1차로 국내 대형 은행들의 경우 망 분리 규제를 추가로 완화하고 투자를 대폭 늘려야 한다는 분석이 지배적이다.
올해 정보 보호 예산으로 약 860억 7500만 원을 책정한 KB국민은행이 내년에 이를 1000억 원 이상으로 확대한다고 해도 여전히 7억~10억 달러(약 9400억~1조 3400억 원) 안팎을 투입하는 미국 은행과 비교하면 차이가 크다. 특히 미국 은행의 예산 규모 출처가 2022년 9월 미 하원의 청문회 회의록이라는 점을 고려하면 이들의 내년도 투자액은 계속해서 한국과 격차를 유지할 가능성이 높다.
한국인터넷진흥원(KISA)에 공개된 ‘2025 정보보호 공시 현황 분석보고서’에 따르면 국내 금융·보험업 31개사의 2024년 정보기술(IT) 투자 대비 정보 보호 투자 비중은 9.6%였다. 보안 연구·자문사 IANS리서치와 임원 채용 업체 아티코서치의 같은 해 미국·캐나다 금융업 조사 평균은 12%였다.
보안 인력도 마찬가지다. 전체 인력 대비 정보 보호 인력 비중으로 살펴보면 씨티와 BofA는 1.5~1.6%인데 4대 은행 평균은 0.69%에 불과하다. 이마저도 외주 인력을 제외한 내부 인력 비중만 보면 0.3~0.4%까지 떨어진다. KB국민은행에 이어 우리은행이 보안 시스템 구축 예산을 올해보다 20% 이상 늘리고 전문 인력을 10% 이상 확충하는 방안을 들여다보고 있지만 갈 길이 멀다는 게 전문가들의 이야기다.
투자 부담이 큰 중형 금융사에는 공동 대응이 대안으로 거론된다. 협회나 중앙회가 비용을 모아 관제·취약점 점검 서비스를 함께 이용하면 개별 회사의 부담을 낮출 수 있다. 금융권 관계자는 “중소 금융사는 일단 스스로 하되 인력 등의 여력이 없으니 공동으로 지원할 필요가 있다”고 말했다.
공동 대응의 걸림돌로는 지원 범위와 비용 부담이 꼽힌다. 비영리 기관인 금융보안원이 비회원사까지 무상 지원하기는 어렵고 중앙회 전산망 밖의 금융사도 별도 지원이 필요하기 때문이다. 공동 체계 구축·운영 비용에 정부 지원이 필요하다는 목소리가 나오는 배경이다. 박민규 더불어민주당 의원이 8일 국정감사에서 금융위원회의 중소 금융사 공동 AI 보안 체계 지원을 요구한 것도 같은 맥락이다. 중소 금융사의 공동 서비스 참여를 넓힐 방안으로는 규모에 따른 비용 차등 분담이 거론된다.
외부 연결을 통제할 역량 자체가 부족한 소형 금융사에는 망 분리 유지·강화가 현실적인 접근으로 꼽힌다. 보안 인력과 시스템을 갖추지 못한 상태에서 접속 범위를 넓히면 관리 부담이 커질 수 있다는 것이다.