올해 정보보호 공시의무 기업 655개사...은행은 '자율'

과학기술정보통신부는 23일 정보보호 투자를 촉진하고 이용자 보호를 위해 기업이 정보보호 투자, 전담인력, 관련 활동 등 정보보호 현황을 의무적으로 공시해야 하는 정보보호 공시 의무대상 기업을 확대 발표했다.

하지만 국내 금융회사 대부분은 정보보호 투자 내용을 공시하지 않고 있는 것으로 알려졌다. 은행 등 금융회사는 의무가 아니라 자율이기 때문이다. 이에 대해 과기정통부 정보보호산업과 곽을경 사무관은 "정보보호산업법에 의해 금융권과 전자금융회사는 대상에서 제외하고 있다"면서 "금융회사는 금융당국에 정보보호 관련 자료를 제출하고 있어 의무 공시는 이중 규제가 된다. 금융회사의 정보보호 공시는 자율이다"고 설명했다.

하지만 최근 북한 해커 조직 등이 금융보안 프로그램을 악용한 공격을 지속적으로 실행하고 있고 금융기관의 정보보호 시스템 구축이 ESG경영의 주요 평가 항목이라는 점에서 이를 더욱 활성화해야 한다는 목소리가 높아진다.

올해 확대된 정보보호 공시의무 대상기업에는 대·중견 이상의 상장회사, 주요 정보통신 설비를 갖춘 기간통신사업자, 이용자 수가 많아 정보보호 필요성이 큰 온라인 스트리밍 및 SNS 운영사 등이 포함됐다. 상장회사의 매출액 및 온라인 서비스 이용자 수 증가로 인해 전년 대비 58개사가 늘었다.
24일 과학기술정보통신부와 한국인터넷진흥원(KISA)이 제공하는 정보보호 공시 종합 포털 사이트에서 확인한 결과 의무사항은 아니지만 KB국민·신한·하나·NH농협 등 국내 주요 은행들은 정보보호 공시제도가 시행된 2016년 이후 지금까지 관련 내용을 공시하지 않고 있다.

이에 반해 우리은행은 매년 꾸준히 자율적으로 정보보호 공시를 하고 있다. 우리은행 공시 내용을 보면 지난해 4월 정보보호 부문에 405억원을 투자했다. 보안 인력은 내부 27명, 외주 50명으로 총 77명이다. 또한 우리은행은 스마트 금융 콘퍼런스에 참여해 강연을 진행했고 자체 모의해킹 대회를 개최하고 대응훈련도 진행했다.

관련 공시를 하지 않은 은행들은 정보보호 조치 미흡으로 금융당국의 지적을 받은 사례가 꾸준히 나온다. 금융감독원은 작년 12월 KB국민은행 임원에게 견책 처분을 내렸다. 오픈뱅킹 서비스를 위해 제공받은 고객들의 개인신용정보를 광고 활동에 활용했고 신용정보 전산시스템에 대한 보안대책을 수립해야 하는 의무를 위반했기 때문이다.

또 신한은행은 부행장과 상무가 정보처리 시스템 전산망 분리를 하지 않았다는 이유로 지난 2021년 2월 견책을 받았다.

하나은행도 보안대책 수립 시행 의무 위반으로 작년 9월 2400만원의 과태료 처분을 받았고 10월엔 상거래관계가 종료된 고객의 개인신용정보 미삭제 및 분리보관 미이행으로 금감원 지적을 받았다. 이처럼 은행들의 정보보호 조치 미흡이나 위반으로 금융당국에게 과태료나 지적을 받는 사례가 늘고 있다.

정보보호 공시제도는 지난 2015년 12월 도입됐다. 기업이 정보보호 투자, 인력, 인증, 활동 등을 공개하도록 하는 제도다. 정보보호 측면에서 이용자의 알 권리를 보장하기 위해서 마련됐다. 금융회사도 이러한 측면에서 정보보호 공시에 적극 참여할 필요가 높아지는 이유다.

객관적인 기업 선택 기준을 제시하고 정보보호를 기업경영의 중요 요소로 포함해 자발적인 투자를 유도한다는 것이 도입 취지다.

아울러 정보보호는 ESG의 주요 평가 항목 중 하나로 꼽힌다. 산업통상자원부 K-ESG 가이드라인에 따르면 정보보호 시스템 구축은 최대 100점의 가산점을 받을 수 있는 주요 항목이다. 개인정보보호 관련 법 위반 시에는 최대 50점 감점되기도 한다. 금융회사의 ESG평가를 위해서도 정보보호는 중요한 부분이다.


김태형 글로벌이코노믹 기자 tadkim@g-enews.com