AI 해커는 72분에 뚫는데, 보안 인력은 19명이라고?

해킹을 당하고 나서 정보가 빠져나가기까지, 얼마나 걸린다고 생각하시나요.

같은 뉴스, 네 가지 시선. AILENS입니다. 오늘은 10월 7일 기준으로, 금융권 정보 보호 인력 이야기를 해보겠습니다.

상상해봅시다. 은행 전산실에 경보가 울립니다. 누군가 서버 문을 두드리고 있습니다. 담당자가 모니터를 켜고 상황을 파악하고, 윗선에 보고하고, 차단 조치를 논의합니다.

그 사이에 정보는 이미 나갔습니다.

팔로알토네트웍스에 따르면, 2024년에는 공격 시도부터 유출까지 평균 285분이 걸렸습니다. 다섯 시간 가까이 됩니다. 그런데 2025년에는 72분으로 줄었습니다.

다섯 시간에서 한 시간으로. 점심 먹고 돌아올 시간이 있었던 게, 이제는 회의 한 번 하는 시간도 안 됩니다. 사람이 판단할 틈이 사라진 겁니다.

그럼 방어하는 쪽은 어떨까요.

한국산업은행의 정보 보호 전담 인력은 2025년 말 기준 열아홉 명이었습니다. 1년 전에는 스물세 명이었습니다. 늘지 않고 줄었습니다. 올해 6월 말에 스물두 명으로 돌아왔습니다.

산업은행과 거래하는 업체가 약 2백만 개입니다. 기업은행은 개인과 기업 고객을 합쳐 2천만 곳 가까이 됩니다. 이 기관들이 가진 건 이름과 계좌번호만이 아닙니다. 소득, 재산, 가족 관계까지 들어 있습니다.

담당자들이 일을 안 하는 게 아닙니다.

금융 공공기관의 한 관계자는 "조직 총원과 구조가 정부의 통제를 받는 상황에서 정보 보호 전담 인력을 늘리면 다른 부서의 인력은 줄여야 하는 상황이 된다"고 말했습니다.

총인건비제라는 게 있습니다. 정부가 인건비 총액을 정해두는 제도입니다. 보안 인력 한 명을 더 쓰려면, 다른 부서에서 한 명을 빼야 합니다. 안 늘리는 게 아니라, 늘릴 자리가 없는 겁니다.

그런데 민간은 괜찮은가. 여기서 이야기가 조금 달라집니다.

한국인터넷진흥원 정보 보호 공시를 분석한 결과, 4대 시중은행의 2025년 연평균 정보 보호 인력은 367.4명이었습니다. 그중 외부 인력이 45%였습니다. 우리은행은 절반을 넘었습니다.

반대 사례도 있습니다. 토스뱅크는 정보 보호 인력 서른 명 중 스물여덟 명이 내부 직원입니다. 전체의 94.7%입니다. 카카오뱅크도 3분의 2가 내부 인력입니다.

영업점이 없는 인터넷은행과 시중은행의 인력 구조는 다를 수밖에 없습니다. 단순 비교는 조심스럽습니다. 다만 한 인터넷은행 관계자는 이렇게 말했습니다. "외부 인력의 전문성이 떨어진다는 의미는 아니지만, 계약 종료 후 이동을 전제로 하는 만큼 내부 직원과는 업무 연속성과 책임 측면에서 차이가 있을 수밖에 없다."

업계에서는 IT 아웃소싱이 늘어날수록 제3자 리스크가 커진다는 지적이 꾸준히 나왔습니다.

남은 질문은 이겁니다.

경찰은 어제 금융사 해킹 사건을 정식 수사로 전환하고, 스물여덟 명 규모의 전담수사팀을 꾸렸습니다. 수사는 일어난 일을 따라갑니다. 그런데 공격 속도는 한 시간 안쪽으로 들어왔습니다.

임종인 고려대 정보보호대학원 명예교수는 "보안 인력은 가능하면 정규직으로 확보하는 게 바람직하다"며 "에이아이를 능숙하게 활용할 수 있는 보안 전문가를 국가적으로 양성해야 한다"고 강조했습니다.

양성에는 시간이 걸립니다. 공격은 기다려주지 않습니다. 이 간격을 어떻게 메울 것인가 — 아직 답이 나오지 않은 부분입니다.

정리하면, 오늘 핵심은 이겁니다. 공격은 다섯 시간에서 한 시간으로 빨라졌는데, 막는 쪽의 인력 구조는 그 속도를 따라가도록 설계돼 있지 않다는 것. 기술의 문제이기도 하지만, 사람을 어디에 둘지 정하는 규칙의 문제이기도 합니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.