[개인정보 대란]끊이지 않는 정보유출…‘보안 불감증’이 가장 큰 문제

막대한 투자 불구 낮은 보안의식·허술한 인력관리가 원인

손톱 만한 이동식저장장치(USB) 하나에 사실상 전 국민의 금융정보가 그대로 털렸다. 사무용품점에서 단돈 1만원에 구입할 수 있는 USB를 손에 쥔 코리아크레딧뷰로(KCB) 직원 박모씨(39세)는 KB국민·롯데·농협카드 등 3사에 파견돼 1억400만건의 고객 정보를 빼갔다. 원칙적으로 금융회사에서는 USB 사용이 금지된다. 그러나 외주업체 직원인 박씨는 아무런 제재를 받지 않고 USB에 고객들의 민감한 개인정보까지 무차별적으로 수집하는 데 어려움이 없었다.

정보 유출이 이뤄진 시점은 지난 2012년으로까지 거슬러 올라간다. 이 기간 카드사들은 박씨가 USB에 개인정보를 복사해 대출 알선업자들에게 팔아 넘기는 등 활개를 쳤지만 전혀 인지하지 못했다. 금융당국 역시 검찰의 통보를 받고서야 뒤늦게 유출 사실을 알았다. 1년이 넘도록 고객정보가 빠져나가도 전혀 알아차리지 못하는 우리 금융산업의 보안 현실이 여실히 드러난 셈이다.

최근 3년간 발생한 개인정보 유출 사건 대부분은 금융권에 집중됐다. 문제는 정보에 접근할 수 있는 내부직원과 외주업체 직원들로 인한 사건이 주류를 이루고 있다는 점이다. 지난 2011년 4월 농협과 현대캐피탈, 같은 해 5월 한화손해보험에서 해킹으로 발생한 개인정보 유출 사건을 제외한 모든 보안사고는 내부직원과 외주업체 직원에 의해 발생됐다. 금융회사의 낮은 보안의식과 허술한 인력관리가 사고의 원인이다.

금융권의 보안설비 투자에 대한 인식도 문제다. 돈을 들여 투자해도 실적이 눈으로 보일 정도로 크게 나타나지 않기 때문에 보안 비용을 줄이고자 관련 업무를 외주업체에 돌리는 경우가 허다하다. 보안 불감증의 대표적 사례다.

보안 전문가들은 국내 금융회사들의 방화벽(해킹 등을 대비한 보안 소프트웨어)은 외국 금융회사와 비교해도 결코 낮은 수준이 아니라고 입을 모은다. 문제는 직원들이 가져야 할 기본적 보안의식 수준이다. 제도와 기술력에 집중 투자한다 해도 보안의 출발은 ‘사람이 한다’란 명제가 따르기 때문이다. 실무와 제도 사이의 빈틈을 메우는 보안의식 작업이 우리 금융권에서는 무엇보다 절실하다.

실례로 이번 개인정보 유출 사태의 중심에 있는 KB금융의 경우 연간 3000억~4000억원을 전산망 유지·관리 비용으로 쓰고 있다. 이 중 보안 관련 비용이 300억원대에 달한다. 보안 관련 내부 관리 인력도 최대 300명 수준을 유지하고 있다. 막대한 투자비용 대비 낮은 보안의식으로 제 역할을 못했다는 비난을 떨칠 수 없는 상황이다.

후진적 보안의식의 또 다른 원인은 흔히 ‘주인 없는 회사’로 불리는 금융회사의 구조에 있다는 지적이다. 금융당국 관계자는 “금융회사 경영진이 자리에 연연해서 수익성만 추구하다 보니, 보안에 대한 투자를 기회비용으로 여기는 경우가 발생한다”면서 “임기 중 실적이 나쁘면 가장 먼저 보안에 대한 투자를 삭감하는 행태가 지속될 경우 보안 관련 곳곳에 헛점이 발생될 것”이라고 말했다.

한편 내부직원과 외주업체 직원들이 정보유출 유혹에 빠지는 이유는 고객정보가 금전거래로 이어진다는 점에서 문제 해결의 실마리를 찾기 어렵다는 지적이다. 현재 대출·카드 모집인 등 20만명에 달하는 금융권의 각종 모집인과 불법 대부업체·대부 중개업체 등이 불법 유출된 개인정보의 수요처 노릇을 하고 있다. 이들로 형성된 불법 개인정보 유통시장에 대한 철처한 점검이 이뤄져야 한다는 지적이 나온다.