농협은행, 정보보호공시 투명성 확대 나선다

[녹색경제신문 = 박금재 기자] NH농협은행이 정보보호 현황을 대외에 공개하지 않는다는 지적이 금융권에서 제기되고 있다. 한국인터넷진흥원(KISA)의 정보보호 공시 제도에 주요 시중은행들이 자율적으로 참여하는 흐름 속에서 농협은행은 공시가 확인되지 않는다는 관측이다. 

9일 업계에 따르면 정보보호 공시는 기업이 보안 투자액, 인력, 인증, 사고 대응 체계 등 핵심 지표를 대중에 공개해 신뢰를 높이자는 취지로 운영된다. 제도는 KISA가 소관하며, 일정 규모 이상의 통신·플랫폼 기업 등에 대해선 의무 공시를 부과하지만 금융회사는 의무 대상이 아니다. 그럼에도 일부 은행은 자율로 참여해 매년 자료를 내고 있다. 

최근 흐름은 ‘자율 공시 확산’에 가깝다. 우리은행은 2020년부터 올해까지 6년 연속으로 정보보호 자율공시를 이어오고 있고, 다른 시중은행들도 참여 대열에 속속 합류하는 모양새다. 공시 항목에는 ISO/IEC 27001 등 인증 보유 현황, 침해대응 조직, 관제센터 운영, 모의해킹·훈련 내역 등이 포함되는 것이 일반적이다. 

이런 가운데 최근 업계에선 “국민·신한·우리 등이 관련 내용을 공개하는 반면, 농협은행은 공시가 없다”는 지적이 나온다. 동일 시점에 하나은행도 미공시로 분류됐으나, 하나은행은 내년부터 공시를 시작하겠다는 방침을 밝혀 ‘합류 예고’가 전해졌다. 결과적으로 현 시점에서 농협은행의 ‘공시 부재’가 상대적으로 부각되는 구도가 형성됐다. 

금융권에서는 공시 여부가 곧 ‘보안 수준의 우열’을 뜻하지는 않지만, 투명성에 대한 시장 요구가 커진 만큼 적극적 정보 공개가 바람직하다는 평가가 많다. 특히 최근 금융권을 향한 사이버 공격과 개인정보 침해 우려가 잦아들지 않는 상황에서, 소비자와 투자자에게 최소한의 점검 기준을 제공할 필요가 있다는 지적이다. 

농협은행 입장에선 공시 의무 대상이 아닌 만큼 법적 의무 위반 소지는 없다. 실제로 KISA 제도 설명서에도 금융회사는 의무공시 제외 대상으로 명시돼 있다. 다만 의무가 아니더라도, 동종 업계가 자율 공시로 ‘기준선’을 세우는 흐름이 굳어질 경우 ‘침묵의 비용’이 커질 수 있다는 게 업계 중론이다. 

자율 공시는 이점과 부담을 동시에 갖는다. 장점은 신뢰 제고다. 대외 공개를 통해 투자·조직·프로세스가 일정 수준 이상이라는 신호를 줄 수 있다. 반면, 수치와 체계를 드러내는 과정에서 부족한 영역이 외부에 노출될 수 있고, 이후 연례 업데이트의 ‘품질 관리’ 부담도 따른다. 이 탓에 일부 기관은 ESG 보고서 등에서 간접적으로만 정보를 제공해 왔다. 

그럼에도 공시 확산의 동인은 분명하다. 정보 공개가 곧 내부 관리 강화를 촉진한다는 점이다. 데이터 기반 지표(보안투자액, 관제 인력, 모의훈련 횟수 등)를 자기 점검의 도구로 쓰면 목표관리가 수월해지고, 전사적 리스크관리(RM)·내부감사(IA)와의 연계도 자연스레 강화된다. 

소비자 관점에서의 효과도 작지 않다. 공시 문서를 통해 개별 은행의 보안 체계를 최소 수준으로 비교할 수 있고, 사고 발생 시 사후 대처·재발방지 체계가 갖춰져 있는지 확인하는 준거가 생긴다. 시장의 ‘알 권리’가 확대되면 과도한 불안이나 루머도 줄어드는 쪽으로 작동한다는 평가다. 

향후 관전 포인트는 두 가지다. 하나는 농협은행의 참여 여부다. 하나은행이 내년부터 공시 참여를 예고한 만큼, 농협은행이 연내 또는 내년 시즌에 자율 공시에 동참할지가 관심사다. 다른 하나는 공시의 내실이다. 항목 나열형 공개를 넘어, 모의훈련 결과 개선도·사고지표 감소 같은 성과 지표까지 담아낼 경우 실질적 신뢰 제고로 이어질 수 있다. 

정리하면, 정보보호 공시는 법적 의무를 넘어 신뢰 경쟁의 무대로 변하고 있다. 현시점 보도 기준으로 농협은행은 동종사 대비 ‘미공시’라는 꼬리표가 붙은 상태다. 공시 참여 여부와 공개 수준을 둘러싼 농협은행의 선택이, 하반기 보안 이슈가 잦은 금융권에서 의미 있는 시그널로 해석될 가능성이 크다.