"고객정보도 못 지키면서 연임?"···5대 은행장 국감서 진땀(종합)

개인정보 유출 사고에 은행권 관리 책임 추궁

보안 예산 미집행·피해 보상 실효성 논란

이찬진 "연말 은행장 인선 절차 전반 점검"

(오른쪽부터)이환주 KB국민은행장과 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이 19일 오후 서울 여의도 국회 정무위원회에서 열린 금융감독원·예금보험공사·서민금융진흥원에 대한 국정감사에 증인으로 출석해 의원의 질의를 경청하고 있다. 사진=강민석 기자

국내 5대 시중은행장이 4년 만에 국회 국정감사에 나란히 출석해 전방위적인 질타를 받았다. 잇따른 해킹 사고로 은행권의 내부통제 역량에 대한 의문이 커진 가운데 막대한 이자수익을 거두면서도 금융소비자 보호에는 소홀했다는 비판이 쏟아졌다.

특히 개인정보 유출 사고를 둘러싼 책임론은 은행장 연임 문제로까지 번지는 분위기다. 고객정보 보호와 내부통제 역량을 CEO 평가의 핵심 기준으로 삼아야 한다는 지적이 제기되면서 연말 대규모 은행권 인사를 앞두고 금융지주 지배구조 개선 문제도 다시 수면 위로 떠올랐다.

19일 국회 정무위원회의 금융감독원 국정감사에는 KB국민·신한·하나·우리·NH농협은행 등 5대 은행장이 증인으로 출석했다. 5대 은행장이 국감장에 동시에 모습을 드러낸 것은 2022년 이후 4년 만이다.

반복된 보안 경고에도 뚫린 은행권···사고 대응·예산 집행 도마

이날 국감에서는 금융당국의 반복적인 보안 강화 요구에도 개인정보 유출 사고를 막지 못한 은행권의 관리 책임이 집중적으로 거론됐다. 단순히 외부 해킹 공격에 노출됐다는 사실을 넘어 사전 점검과 이상행위 탐지, 사고 발생 이후 대응체계까지 전반적인 보안관리 시스템이 제대로 작동했는지가 쟁점이 됐다.

특히 은행들이 개인정보 유출 사실을 파악하는 데 상당한 시간이 소요됐다는 점이 문제로 지목됐다.

신한은행은 사고 발생 이후 유출 사실을 인지하기까지 15시간26분이 걸렸고, 하나은행은 41시간44분이 소요된 것으로 나타났다. KB국민은행 역시 최초 공격 이후 개인정보 유출 사실을 최종적으로 확인하기까지 약 80시간이 걸렸다는 지적을 받았다. 첫 번째 공격 이후에도 추가적인 정보유출이 발생한 것으로 파악되면서 초기 대응의 적절성을 둘러싼 논란도 불거졌다.

보안 예산의 집행 실태도 집중적인 질타를 받았다. 은행들이 정보보호 예산을 충분히 편성하고도 실제 집행에는 소극적이었던 것 아니냐는 지적이다.

KB국민은행의 지난해 보안 예산 집행률이 약 58%, NH농협은행은 약 54%에 그친 것으로 확인됐다. 신한은행 역시 보안 예산 집행률이 70%에 미치지 못한 것으로 나타났다.

박성훈 국민의힘 의원은 "(국민은행은) 고객 신뢰를 경영의 최우선 가치로 강조하면서 정작 보안 예산의 42%는 집행하지 않았다"며 "미집행 예산에 인증체계나 접근통제 개선에 필요한 사업이 포함돼 있는 것 아니냐"고 따져 물었다.

한 의원도 "사고가 발생하자마자 뒤늦게 보안 투자를 확대하겠다고 발표하는 것은 면피용 아니냐"며 "사전에 편성한 보안 예산부터 제대로 집행했어야 했다"고 질타했다.

이에 이환주 국민은행장은 "이번 사건으로 고객과 국민 여러분께 염려를 끼친 데 대해 진심으로 사과드린다"며 "재발 방지를 위해 예산과 인력을 충분히 확보하고 AI 기반 해킹에 대응할 수 있는 보안 시스템을 갖추도록 노력하겠다"고 밝혔다.

정보유출 사고를 인지하고 대응하는 데 상당한 시간이 소요됐다는 점도 문제로 지목됐다. 의원들은 은행별 사고 인지 및 대응 시간을 거론하며 이상거래 탐지와 침해사고 대응체계의 실효성을 점검해야 한다고 강조했다.

이찬진 금융감독원장은 "은행권의 정보보호 관리 실태를 면밀히 점검하고 필요한 개선 방안을 마련하겠다"는 입장을 밝혔다.

"2차 피해만 보상?"···은행장들 배상 범위 확대 검토

개인정보 유출 피해에 대한 보상 문제도 주요 쟁점으로 떠올랐다. 해당 은행들이 2차 피해가 발생할 경우 전액 보상하겠다고 밝히고 있지만, 실제 피해자가 개인정보 유출과 금융피해 사이의 인과관계를 입증하기는 쉽지 않다는 지적이다.

특히 여러 금융회사와 온라인 서비스에서 개인정보 유출 사고가 발생하는 상황에서 고객에게 피해 원인을 입증하도록 하는 것은 사실상 보상 책임을 회피하는 결과로 이어질 수 있다는 비판이 나왔다.

이날 "2차 피해가 발생하면 전액 보상하겠다는 것은 말장난 아니냐. 고객들은 이미 개인정보가 유출된 것만으로도 피해를 입은 것"이라며 "어디에서 유출된 정보 때문에 피해가 발생했는지 고객이 어떻게 입증하느냐"며 적극적인 보상 책임을 져야 한다는 지적이 잇따랐다.

이에 정상혁 신한은행장은 "고객의 과실 여부를 떠나서 2만5000명에 대해서는 일단 전액 보상을 계획하고 있다"고 밝혔다. 이환주 국민은행장도 "피해 발생 시 전액 보상하겠다는 방침을 설명하면서 개인정보 유출 자체에 대한 보상 범위와 수준을 적극 검토하겠다"고 답했다.

이호성 하나은행장은 "1차적으로 수수료 면제를 통해 보상을 실시하고 있다"며 "금융안심보험 가입을 통해 추가 피해를 보상하기 위한 조치도 진행하고 있다"고 설명했다. 이어 "그와 관계없이 피해가 발생하면 당연히 100% 배상 책임을 지겠다"고 밝혔다.

'해킹 책임론' 은행장 연임으로 번져···금융지주 지배구조도 도마

개인정보 유출 사고에 대한 경영진 책임론은 은행장 연임 문제로까지 확대됐다. 연말 주요 은행장과 금융지주 계열사 CEO들의 임기가 대거 만료되는 만큼 경영 실적뿐 아니라 정보보호와 내부통제 역량을 차기 CEO 선임의 핵심 평가 기준으로 삼아야 한다는 지적이다.

한창민 의원은 정상혁 신한은행장을 향해 "금융회사 CEO의 경영 성과를 평가하면서 고객정보 보호와 내부통제 관리 책임을 제외할 수는 없다"며 연임 의사를 물었다. 이어 "고객정보조차 제대로 지키지 못하고 내부통제 관리 책임도 미흡한 은행장이 있다면 연임을 논할 자격이 없다고 생각한다"고 질타했다.

이에 정 행장은 "지금 당장은 연임에 대해 생각해 보지 않았다"며 "현재는 피해자 구제와 재발 방지 대책에 전념하고 있다"고 답했다.

이와 함께 금융지주 회장이 은행장 선임과 연임 과정에서 행사하는 영향력에 대한 문제도 제기됐다. 특히 은행 임원후보추천위원회가 은행장 후보를 직접 추천할 실질적인 권한을 갖고 있는지 점검해야 한다고 지적했다.

이찬진 금감원장은 연말 은행장 인사와 관련 "법 개정 이전이라도 현재 은행권에서 이뤄지는 인선 절차를 전반적으로 점검하고 지배구조 개선이 실제 성과로 이어지는지 확인하겠다"고 강조했다.

금융권에서는 이번 국감이 개별 은행의 개인정보 유출 사고에 대한 책임을 묻는 데 그치지 않고 금융회사의 내부통제와 소비자 보호, 경영진 평가체계를 전반적으로 점검하는 계기가 될 것으로 보고 있다.

특히 연말 대규모 CEO 인사를 앞두고 경영 실적뿐 아니라 정보보호와 내부통제 역량이 은행장 선임 및 연임의 실질적인 평가 기준으로 작동할 수 있을지가 주목된다.