금융권 해킹에 드러난 감독 한계…IT 검사 인력 21명뿐

비즈워치 2026년 10월 20일 오전 10:50 조회수

금융권에서 해킹과 개인정보 유출 사고가 잇따르면서 금융당국의 보안 관리·감독 체계에도 한계가 드러나고 있다. 금융회사 자체점검과 주기적인 정기검사에 의존하는 방식으로는 갈수록 고도화하는 사이버 위협에 대응하기 어렵다는 지적이 나온다.

특히 수천 곳에 달하는 금융사를 감독·검사하는 금융감독원 IT부문 감독·검사 인력은 50명 수준이다. 이 가운데 업권별 IT 검사를 담당하는 인력은 21명에 그친다. 전문인력 확충 필요성이 제기되지만, 예산 제약과 민간 대비 낮은 보수 등이 걸림돌로 꼽힌다.

전 금융권 IT 검사·관리인력 ’50명’

금융당국의 보안 점검은 금융회사에 보안 취약점 체크리스트를 배포하고 자체 점검결과를 제출받는 방식으로 이뤄진다. 당국은 결과를 검토해 미흡한 부분을 지도하고, 필요하면 해당 금융회사에 인력을 보내 직접 점검한다.

하지만 이번 사태로 금융권 보안 취약점뿐 아니라 당국의 관리·감독 방식도 도마 위에 올랐다. 이번 해킹 사태 이후 이뤄진 보안 점검도 보안 취약점 체크리스트를 배포하는 방식에 그쳐 자체점검에만 의존한다는 지적이 나온다.

금융회사의 자체점검에 의존할 수밖에 없는 배경에는 감독 인력 부족이 있다. 금감원이 국회 정무위원회 소속 한창민 사회민주당 의원실에 제출한 자료에 따르면 금융회사 IT 관리·감독·검사 인력은 총 50명이다.

단위농협, 사모펀드 운용사, 거래소, 협회 등을 포함해 금감원이 법적으로 상시 감독하고 검사 권한을 가진 전체 금융기관은 수천 곳에 달한다. 50명이 모두 검사에 동원되는 것도 아니다. 기획, 감독, 모니터링 등 업무를 제외하고 실제 현장에 투입되는 검사 인력은 21명이다.

감독 대상 금융회사와 이들이 운영하는 전자금융기반시설의 수와 규모가 방대해 현실적으로 현장 검사가 쉽지 않다는 지적도 나온다. 금융당국 관계자는 “당국이 금융회사의 전산 자원을 일일이 체크하는 것은 불가능하다”며 “가이드라인을 배포해 금융회사가 자기 책임 하에 점검을 해 당국에 알려주는 것이 현실적으로 가장 효과적인 방법”이라고 설명했다.

정기검사 주기가 길다는 점도 한계로 지적된다. 금감원은 통상 금융회사 정기검사마다 경영실태평가 일환으로 IT 실태평가를 실시한다. 은행 정기검사 시 은행검사국 직원들과 함께 IT검사국 내 은행검사팀 직원들이 투입돼 관련 검사를 시행하는 식이다.

하지만 검사 간격이 2~3년, 길게는 5년 이상 벌어지기도 한다. 검사 사이에 보안 사고가 발생하면 사후 대응에 그칠 수 있다는 우려가 나오는 이유다. 수시 검사 등 자체 검사로 공백을 보완하고 있지만 모든 금융회사를 상시 점검하는 것은 어려운 실정이다.

한창민 사회민주당 의원은 “소수의 인력으로 금융권 전반의 IT 검사를 감당하는 구조에서는 예방적 감독에 한계가 생길 수밖에 없다”며 “감독 대상과 위험 수준에 맞춰 전문인력을 확충하고, 정기검사 사이에도 취약점을 지속적으로 점검할 수 있도록 감독역량을 보강해야 한다”고 강조했다.

업무 과중…인력 수급도 어려워

금감원도 감독·검사 체계를 보완하고 있다. 올해부터 FIRST를 가동해 보안 정보를 상시 수집·데이터베이스(DB)화하고, 주요 위협정보를 금융회사에 신속하게 전달하고 있다. 전산 장애나 사고가 잦은 금융회사에 대해서는 수시 검사를 강화하기로 했다.

조직 개편도 진행했다. 은행·금융투자검사국 산하 IT검사팀을 IT검사국으로 편입해 검사 기능을 일원화하고, 디지털금융총괄국에 디지털리스크분석팀을 신설했다. 관련 부서의 IT 감독 인력도 관리·감독 업무에 투입하고 있다.

하지만 여전히 전 금융회사의 IT 자원을 관리·감독하기에는 한계가 있다. 금감원 내부에서도 IT 검사 인력 부족과 업무 과중에 대한 우려가 나온다. 정기 검사를 통해 진행하는 IT 실태평가 역시 업무 부담이 크다는 지적이다.

금감원 IT 검사 업무 안내서에 따르면 IT 실태평가는 △IT 감사 △IT 경영 △시스템 개발·도입 및 유지보수 △IT 서비스 제공 및 지원 △IT 보안 및 정보보호 등 5개 부문으로 나뉜다. 세부 평가 항목은 총 25개다.

금감원 관계자는 “IT 실태평가에서 한 사람이 한 부문만 맡는 게 아니라 통상 두 개 부문씩 담당하기도 한다”며 “인원이 부족해 검사 여건이 매우 어려운 상황”이라고 말했다.

이 같은 인력 부족을 해소하기 위해 IT검사국을 1·2국 체제로 확대해야 한다는 의견도 나온다. 다만 인력 증원에는 예산 확보가 뒷받침돼야 한다. 금감원은 무자본 특수법인으로, 금융위원회 산하에서 예산을 배정받는다. 이에 따라 인력 확충에 재정적 제약이 따른다.

IT 전문인력을 확보하는 데도 어려움이 있다. 금감원은 내년 5급 공채에서 정보기술 업무 특성과 IT 프로세스 개선 방법론에 대한 이해, IT 기기·보안 장비 운영 및 프로그램 디버깅·검토 기술 등을 보유한 인력 17명을 선발할 예정이다. 하지만 민간 금융사와 비교해 낮은 보수나 처우 등이 걸림돌로 꼽힌다.

지난해 4대 시중은행 직원의 평균 보수는 1억2275만원으로, 금감원 직원 평균인 1억1160만원보다 높았다. 경력직으로 분류되는 무기계약직의 평균 보수는 이보다 낮은 9810만원이다.