국내 기업 97% 보안 인력 부족, 망 분리 완화와 ISMS 재점검 동시에 추진 🔧

금융사 전산실, 보안 담당자가 모니터 앞에 앉아 있습니다. 경고창이 뜹니다. 그런데 이걸 판단할 사람이, 지금 자리에 없습니다.

같은 뉴스, 네 가지 시선. AILENS입니다. 지난 10월 29일, 서울에서 열린 금융전략포럼에서 나온 이야기를 오늘 다뤄보겠습니다.

포럼장 안, 발표 화면에 숫자 하나가 떠 있습니다. 97퍼센트. 국내 기업 거의 전부가 "보안 인력이 부족하다"고 답했다는 조사 결과입니다. 발표자가 잠깐 말을 멈춥니다. 듣는 사람들 사이에서도 정적이 흐릅니다.

이 자리에서 발언한 사람은 이건영 EY한영 금융AI센터장입니다. 그는 망 분리 환경 때문에 보안 인력이 성장할 기회 자체가 줄었다고 말했습니다. 바깥 네트워크와 단절된 환경에서 일하다 보니, 최신 공격 기법을 다뤄볼 경험이 쌓이기 어렵다는 겁니다. 이 센터장은 이걸 시스코가 전 세계 서른 개 나라의 보안 임원 팔천 명을 대상으로 조사한 결과를 인용해 전했습니다. 그 조사에 응한 국내 기업 가운데, 열에 아홉이 넘는 곳이 인력 부족을 토로했다는 겁니다.

이게 한 회사의 사정이 아니라는 게 핵심입니다. 금융위원회도 비슷한 이야기를 들고 나왔습니다. 신진창 금융위 부위원장은 국내 금융사 오백오십오 곳을 점검한 결과를 전했는데, 그중 사분의 1이 보안 관리 체계가 취약한 것으로 나타났다고 밝혔습니다. 신 부위원장에 따르면 이 취약한 곳들은 대부분 중소 금융사였습니다. 큰 은행은 안전하고, 작은 곳만 문제라는 그림이 자연스럽게 떠오릅니다.

다만 다른 측면도 있습니다. 신 부위원장은 대형 금융사도 일부 취약한 부분이 있다고 덧붙였습니다. 규모가 크다고 해서 안전망이 완벽한 건 아니라는 뜻입니다. 인력도, 체계도, 어느 한쪽만의 문제가 아니라는 겁니다.

이건영 센터장은 이 상황을 두고 "문을 걸어 잠그는 것만으로는 부족하다"고 말했습니다. 사고가 나지 않도록 흐름 자체를 관리하는 게 중요하다는 취지입니다. 단순히 외부와 차단하는 방식만으로는, 지금의 AI 기반 공격을 막기 어렵다는 진단입니다.

그럼 당국은 뭘 어떻게 바꾸겠다는 걸까요. 신 부위원장은 ISMS, 그러니까 정보보호관리체계 전반을 다시 들여다보겠다고 밝혔습니다. 인증 체계와 기준이 지금도 적절한지 살펴보겠다는 겁니다. 동시에 망 분리 규제를 완화하는 방향도 재추진하겠다고 말했습니다. 이 완화 절차는 최근 금융권 해킹 사태로 한 차례 연기됐던 것인데, 보완 검토를 마치는 대로 다시 추진한다는 방침입니다.

여기서 풀리지 않는 지점이 남습니다. 보안 인력을 키우려면 망 분리를 완화해서 바깥 환경에 노출될 기회를 늘려야 한다는 논리가 있습니다. 그런데 망 분리를 완화하면, 그 자체로 해킹 위험이 커질 수 있다는 우려도 함께 존재합니다. 인력 육성과 보안 강화, 이 둘이 서로 다른 방향을 가리키는 셈입니다. 신 부위원장도 보안 예산을 얼마나 늘려야 하는지에 대해 "투자액을 절대적으로 정하는 건 손쉬운 해법일 수 있다"며 신중한 태도를 보였습니다. 정답이 정해진 문제가 아니라는 뜻으로 들립니다.

정리하면, 오늘 핵심은 이겁니다. 국내 금융권 대부분이 보안 인력 부족을 겪고 있고, 금융사 네 곳 중 한 곳은 체계 자체가 취약하다는 점검 결과가 나왔습니다. 당국은 ISMS를 다시 들여다보고 망 분리 완화도 재추진하겠다고 밝혔지만, 인력 육성과 보안 강화 사이의 균형은 아직 풀리지 않은 과제로 남아 있습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.