자산 규모 차이는 10배인데 보안 예산은 최대 37배 차이가 나거든요 🏦

사이버보안 담당 직원이 미국 은행엔 3400명 있는데, 국내 은행엔 100명도 안 된다면 - 그 차이, 어디서 벌어진 걸까요.

같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 10월 12일 기준으로 전해드립니다.

한쪽 은행엔 보안 담당 직원이 3400명 있습니다. 다른 쪽 은행엔 100명이 채 안 됩니다. 같은 업종, 비슷한 규모의 금융 서비스를 하는 곳들입니다.

씨티은행과 뱅크오브아메리카, 두 미국 대형 은행의 사이버보안 전담인력이 지난해 말 기준 각각 약 3400명이라고 합니다. 미국 증권거래위원회 자료로 확인된 숫자입니다.

국내 4대 은행은 어떨까요. KB국민은행 96.7명, 신한은행 97.8명, 하나은행 71.9명, 우리은행 101명. 많아야 백 명 조금 넘는 수준입니다. 서른 명 넘게 쓰던 보안인력을, 국내 은행은 한 명 수준으로 꾸리고 있다고 보면 됩니다.

자산 규모 차이가 열 배 조금 넘는다는 점을 감안해도, 인력 격차는 그보다 훨씬 큽니다.

예산도 비슷한 그림입니다. JP모건체이스나 BofA 같은 미국 대형 은행은 사이버보안에 한 해 7억에서 10억 달러를 씁니다. 우리 돈으로 1조 원 안팎입니다. 국내 4대 은행은 작년 정보보호에 300억 원대를 투입했습니다. 최대 서른일곱 배 차이가 납니다.

이게 특정 은행 하나의 문제가 아니라는 게 핵심입니다. 전체 인력에서 보안인력이 차지하는 비중을 보면, 미국 은행은 1.5퍼센트대인데 국내 4대 은행 평균은 0.69퍼센트입니다. 외주를 빼고 내부 인력만 따지면 0.3퍼센트대까지 떨어집니다.

한국인터넷진흥원 집계로는, 2024년 국내 금융·보험업의 IT 투자 대비 정보보호 투자 비중이 9.6퍼센트였습니다. 같은 해 미국·캐나다 금융업 평균인 12퍼센트에 못 미칩니다. 한 회사만의 선택이 아니라, 업계 전반의 구조라는 뜻입니다.

그런데 이 격차를 그냥 "투자를 덜 했다"는 말로만 설명하긴 어렵습니다. 다른 측면도 있습니다.

국내 금융사들은 그동안 망분리라는 규제로 보안 위험을 낮춰왔습니다. 외부망과 내부망을 아예 분리해버리는 방식입니다. 이게 어느 정도 역할을 해온 건 사실입니다. 반면 미국 은행들은 망분리 대신, 내부망 사용자도 끊임없이 검증하는 제로 트러스트 방식을 발전시켜왔습니다. 둘 다 보안을 지키는 다른 길이었던 셈이죠.

문제는 AI가 끼면서 생깁니다. 금융계의 한 관계자는 이번 사태를 두고 "그동안 금융사들이 망분리만 믿고 정보보안 투자에 소극적이었기 때문"이라고 지적했습니다. 망분리가 외부 공격은 막아줬지만, AI 기술을 끌어와 보안체계를 고도화하는 데는 오히려 걸림돌이 됐다는 얘기입니다.

여기서 또 하나 걸리는 지점이 있습니다. 투자를 늘리자는 데는 다들 동의하는데, 늘릴 여력이 금융사마다 다릅니다.

올해 상반기 국내 은행 순이익은 13조 8000억 원입니다. 반면 신용협동조합은 1889억 원, 새마을금고는 6768억 원의 순손실을 냈습니다. 같은 금융권이라도 체급이 다른 겁니다.

그래서 나온 게 3단계 대응안입니다. 대형 은행은 망분리를 더 완화하는 대신 자체 보안 투자를 키우고, 중형 금융사는 협회나 중앙회 중심으로 공동 대응체계를 꾸리고, 소형 금융사는 외부 연결 통제를 오히려 강화하자는 안입니다. 체급에 맞는 각자의 길을 가자는 겁니다.

KB국민은행은 올해 860억 원대 정보보호 예산을 책정했고, 내년엔 1000억 원 이상으로 늘릴 계획입니다. 우리은행도 보안 예산을 20퍼센트 이상, 전문인력을 10퍼센트 이상 늘리는 걸 검토 중입니다. 그래도 미국 대형 은행과의 격차는 상당히 남습니다.

중형 금융사는 사정이 좀 다릅니다. 개별 회사가 인력과 시스템을 다 갖추기 어려우니 공동 서비스로 비용을 나누자는 얘기가 나오는데, 막상 실행하려면 비용을 누가 얼마나 부담할지부터 정해야 합니다. 금융보안원 같은 비영리 기관이 비회원사까지 무상으로 지원하긴 어렵고, 중앙회 전산망 밖에 있는 금융사를 어떻게 챙길지도 정리가 안 된 상태입니다. 박민규 더불어민주당 의원이 지난 8일 국정감사에서 중소 금융사의 공동 AI 보안체계 지원을 요구한 것도 이 지점을 겨냥한 겁니다.

소형 금융사는 아예 다른 선택을 해야 한다는 의견이 많습니다. 보안인력과 시스템이 부족한 상태에서 망분리를 섣불리 완화하면, 오히려 위험이 커질 수 있다는 겁니다. 한 금융권 관계자는 "중소 금융사는 일단 스스로 하되 인력 등의 여력이 없으니 공동으로 지원할 필요가 있다"고 말했습니다. 결국 체급이 다른 곳들에게 같은 속도를 요구할 수는 없다는 쪽으로 논의가 모이고 있습니다.

다만 누가 비용을 얼마나 분담할지, 정부 지원의 범위를 어디까지 둘지는 아직 정해진 게 없습니다. 이 부분은 앞으로 지켜봐야 할 대목입니다.

정리하면, 오늘 핵심은 이겁니다. 국내 금융권의 보안 격차는 단순히 "돈을 덜 썼다"는 문제가 아니라, 서로 다른 규제 환경에서 자라온 결과이고, 지금은 그 환경이 AI 시대에 맞게 바뀌어야 할 시점에 와 있다는 겁니다. 다만 그 전환을 모든 금융사가 같은 속도로 할 수는 없다는 것, 그 지점에서 아직 답이 나오지 않았습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.