‘고객 보안’ 비용 줄이려 아웃소싱…수익만 쫓다 `억!’

금융권 IT 내부인력과 외부용역 현황

보안담당 아웃소싱 인력
시중은행 43% 손보사 86%
내부통제 어렵고 백업 소홀
예산비중도 5% 못미쳐

현대캐피탈 해킹 사건, 농협 전산장애 등 금융권에서 잇단 전산사고가 발생하면서 금융권의 무리한 비용절감 정책이 사고를 불렀다는 비판을 사고 있다. 금융기관들이 수익 극대화를 위해 이익에만 치중하다 보니 정작 고객에게 필요한 서비스를 소홀히 했다는 지적이다.

14일 금융감독원이 이성헌 한나라당 의원에게 제출한 자료를 보면, 지난해 8월 말 기준 16개 시중은행의 아이티 담당 인력은 6240명으로, 이 중 아웃소싱 인력이 평균 43%(3518명)에 이른다. 보험·카드 등 제2금융권으로 갈수록 아웃소싱 현상이 심각해 생명보험사는 아웃소싱 인력이 64%, 카드사는 72%, 손해보험회사는 86%에 이른다. 금융당국은 외부인력을 과도하게 사용하는 아웃소싱으로 인해 전산시스템에 대한 내부통제 능력이 떨어져 금융사고가 발생할 가능성을 2000년대 초반부터 지적해왔다.

보안담당 인력도 빈약하기 짝이 없었다. 시중은행 가운데 보안담당 인원은 국민·산업·중소기업·농협만이 10명을 넘었고, 나머지 은행들은 10명 미만이었다. 증권·보험·카드 쪽은 보안담당 인력이 10명 이상인 곳은 거의 없었다.

이번에 문제가 불거진 현대캐피탈과 농협의 경우 내부 아이티 및 보안 전문가를 줄여 전산관리를 외부 아웃소싱에 의존하면서 문제가 발생한 것으로 보인다. 한 시중은행 부행장은 “금융사들간의 경쟁이 치열하다 보니 주력인 영업에 신경을 쏟으면서 지원 사업인 아이티나 보안 투자에는 신경쓰기 힘들었다”고 말했다. 경쟁을 위해 수익에 올인하다 보니 당장 돈이 되지 않는 사업에는 소홀히 했다는 것이다.

한 보안 전문가는 “노트북 한대가 농협 전산망을 송두리째 마비시킨 원인은 금융사의 비용절감이 직간접적인 원인이 됐다”며 “메인 서버에서 문제가 일어날 수 있다는 점을 고려하지 않고 비용절감을 위해 백업 서버를 제대로 확보하지 못한 것 같고, 내부자가 아닌 외부자가 그렇게 쉽게 운용 프로그램을 삭제할 수 있었던 것 역시 아웃소싱의 문제점”이라고 지적했다.

또다른 보안 전문가는 “아웃소싱도 문제지만 금융권이 최소한의 비용으로 아웃소싱하려 하고, 아웃소싱 업체의 하청 재하청 구조가 이어지면서 보안 수준도 떨어지고 있는 게 더 큰 문제”라고 말했다.

시중은행 16곳의 아이티 예산 중 보안 예산 비중도 2008년 4.4%에서 2010년 3.4%로 줄어들었다. 금융감독원의 권고 수준인 5%에는 턱없이 모자라는 수준이다. 농협의 보안 관련 예산은 48억원에서 14억원으로, 최근 3년 새 해마다 반토막으로 줄어들었다. 현대캐피탈은 2009년 투자비 등을 이유로 고객 데이터베이스(DB)를 업그레이드하지 않아 해킹을 당했다는 비판을 받았다. 제2금융권 안팎에선 현대캐피탈의 아이티 및 보안 예산이 5%에 미치지 못할 것으로 추정하고 있다. 지난해 농협중앙회(신용부문)와 현대캐피탈의 영업이익은 각각 9361억원, 6671억원에 이르렀지만, 보안투자에는 인색했던 셈이다.

피해는 고스란히 고객의 몫이다. 한국은행 자료를 보면, 지난해 말 기준으로 시중은행의 창구거래 비중은 14.4%에 그친다. 반면 현금자동인출기(ATM) 비중은 37.7%, 인터넷뱅킹 35.8%에 이른다.

이동훈 고려대 정보보호대학원 교수는 “금융권이 아이티 예산을 투자로 보지 않고 비용으로 보면서 이런 문제가 발생하는 것”이라며 “금융권이 아이티와 보안 분야가 고객을 위한 투자라는 인식을 갖지 않으면 제2의 현대캐피탈과 농협 사건은 재발할 것”이라고 지적했다. 정혁준 정세라 기자 [e-mail]