[땅집고] 미래에셋생명이 고객 개인(신용)정보 유출 사고를 공지했다. 보험업권에서 해킹으로 인한 정보 유출이 당국에 신고된 건 이번이 처음이다. 최근 금융권 연쇄 해킹 사태 이후 금융위원회가 전 금융권 최고경영자(CEO) 책임 강화 방침을 밝힌 바 있어, 각자대표를 맡고 있는 김재식 부회장과 황문규 대표의 책임론이 시험대에 오를 전망이다.

미래에셋생명은 지난 10월 25일 오후 홈페이지와 청약시스템에서 이상 징후를 처음 포착했다. 외부 전문기관과 함께 분석하던 중 26일 새벽 고객 개인신용정보 유출을 확인했고, 같은 날 오후 4시부터 홈페이지 접속을 차단하고 복구 작업에 들어갔다. 회사는 홈페이지에 "침해사고에 따른 개인(신용)정보 유출 안내 및 사과드립니다"라는 공지를 올렸다. 공격자는 시스템에 침입해 파일 41건을 열람한 것으로 파악됐지만, 유출된 고객 수와 정보 항목은 아직 공개되지 않았다. 금융감독원은 지난달 26일부터 IT검사·보험검사 인력을 현장에 보내 사고 경위와 피해 범위를 들여다보고 있으며, 정식 검사 전환 여부를 검토 중이다.

◇ 청약시스템 민감정보 유출 땐 파장 커질 듯

청약시스템은 보험 가입과 심사 과정에서 고객이 고지한 병력·수술·입원·투약 이력 같은 건강정보를 처리한다. 계약자뿐 아니라 피보험자와 수익자의 진단명과 진료 내역이 새어 나갔을 가능성도 있다. 민감정보가 포함된 것으로 확인되면 앞선 은행권 개인정보 유출 사고보다 파장이 커질 수 있다.

같은 그룹 내 사고도 이어졌다. 미래에셋생명 사고 직후 계열사인 미래에셋자산운용에서도 외부 IP의 비정상 접근으로 일부 업무 시스템 정보가 유출됐다. 이틀 사이 같은 그룹 금융사 두 곳에서 침해사고가 확인되면서 그룹 차원의 보안 관리 체계를 점검해야 한다는 목소리가 나온다.

◇ ‘CEO 책임론' 첫 시험대…김재식 부회장에 쏠리는 눈

금융위는 지난달 14일 제2차 긴급 상황대응 회의에서 “CEO의 보안관리 책임 강화를 조속히 추진하겠다”고 밝혔다. 경영진의 보안 책임과 보고·의사결정 절차를 금융회사 내규에 명문화하고, 책무구조도에 적힌 책임이 실제로 작동하도록 보완한다는 구상이다. 금융당국 관계자는 "중대한 취약점을 알고도 대응을 소홀히 해 사고가 발생했다면 경영진의 책임을 엄정하게 따져야 할 것"이라고 말했다.

미래에셋생명은 이 기준을 피해 가기 어려울 전망이다. 자산 5조원 이상 대형 보험사는 지난해 7월까지 책무구조도를 제출했고, 미래에셋생명도 그 대상이다. 책무구조도 체계에서 정보보호 책무는 1차로 담당 임원에게 배분된다. 다만 대표이사는 전사 내부통제의 최종 책임자로서 각 임원의 관리의무 이행을 점검하고 필요한 인력과 예산을 지원할 '총괄관리의무'를 진다.

법적 압박도 커졌다. 지난 9월 11일 시행된 개정 개인정보보호법은 그동안 개인정보보호책임자(CPO)에게만 있던 관리·감독 의무를 CEO에게도 지웠다. 1000만 명 이상의 대규모 유출이거나 3년 내 반복 위반, 고의·중과실이 확인되면 과징금 상한이 전체 매출액의 최대 10%까지 올라간다.

미래에셋생명 사고는 CEO 책임 강화 이후 보험업권에서 처음 터진 사고인 만큼 이목이 쏠린다. 미래에셋생명에서는 김재식 부회장이 경영관리 전반을, 황문규 대표가 영업 부문을 맡고 있다. 보안 관리 책임론이 김 부회장에게 집중될 가능성이 크다는 관측이 나온다. 다만 관리 부문을 총괄한다는 이유만으로 김 부회장의 법적 책임이 곧바로 인정되는 것은 아니다. 금감원 검사에서 취약점을 사전에 알고도 방치했는지, 경영진 보고 체계가 작동했는지 등이 관건으로 꼽힌다. 당국은 "사고 발생만으로 일률적으로 책임을 묻지 않겠다"며 사전 예방, 보안 조치 이행, 사고 후 대응을 종합적으로 판단하겠다는 입장이다.

◇ 생보 보안 투자는 평균 이하…“보안은 부수 업무 아니야"

생명보험업권의 정보보호 투자는 금융권 평균에 못 미친다. 국회 재정경제기획위원회 강민국 국민의힘 의원이 금감원에서 받은 자료에 따르면, 올해 6월 말 기준 생보업권 IT 인력 중 정보보호 인력 비중은 8.4%였다. 7개 금융업권 가운데 가장 낮고, 금융권 평균(9.6%)보다 1.2%포인트 낮다. IT 예산 대비 정보보호 예산 비중도 11.1%로 평균(11.7%)을 밑돌았다. 다만 보험업권은 이번 금융당국 자체 점검에서는 45곳 중 7곳(15.6%)만 미흡 판정을 받아, 금융권 전체 평균(23.4%)보다 낮은 비율을 기록했다.

금융당국은 CEO 책임 강화와 함께 대형 금융회사의 취약점 점검 주기를 연 2회 이상으로 늘리고, 중소형사에는 AI 기반 공동 보안관제 지원을 확대할 계획이다. 이찬진 금감원장은 28일 “IT 보안을 부수적 업무나 비용으로 여겨서는 안 된다”고 말했다. / sh0293@chosun.com