증권사 보안인력 살펴보니...일부 대형사 외주 비중 60%대

[녹색경제신문 = 정수진 기자] 금융권에서 해킹과 개인정보 유출 사고가 잇따르는 가운데 일부 대형 증권사의 정보보호 전담인력 중 절반 이상이 외주인력인 것으로 나타났다. 증권사의 높은 보안인력 외주 의존도를 두고 업계 안팎의 시각은 엇갈린다.

보안 전문업체의 인력을 활용하는 만큼 외주 비중만으로 보안 수준을 판단하기 어렵다는 시각이 있는 반면, 내부 전문인력이 충분하지 않은 상태에서 외주 의존도가 높아질 경우 관리·감독과 사고 대응에 한계가 생길 수 있다는 지적도 나온다. 전문가들은 특히 후자의 경우 보안 거버넌스 측면에서 위험 신호가 될 수 있다고 짚었다.

하나·한투 외주 비중 60%대…신한·KB도 절반 넘어

7일 정보보호공시종합포털에 따르면 주요 증권사 가운데 하나증권과 한국투자증권의 정보보호 전담인력 중 외주인력 비중은 60%를 넘었으며, 신한투자증권과 KB증권도 절반 이상으로 나타났다.

하나증권은 전체 정보보호 전담인력 30.2명 가운데 외주인력이 19.1명으로 63.2%를 차지했다. 한국투자증권은 37.5명 중 23.5명(62.7%), 신한투자증권은 53.6명 중 28.1명(52.4%), KB증권은 34.2명 중 17.4명(50.9%)이었다.

반면 NH투자증권은 전체 정보보호 전담인력 31.7명 가운데 외주인력이 6명으로 약 18.9%였다. 대신증권은 14.8명 가운데 4.5명으로 약 30.4%를 차지했다.

정보보호공시종합포털에서 관련 인력 구성이 확인되지 않는 증권사에 대해서는 녹색경제신문이 별도로 확인했다.

삼성증권은 CISO(정보보호최고책임자) 산하에 총 45명이 근무하고 있으며 이 가운데 외주인력은 14명으로 약 31% 수준이다. 키움증권은 CISO인 임원 1명과 정보보호감사파트·정보보안팀 등 약 30명 가운데 외주인력 비중이 약 20%라고 밝혔다.

메리츠증권은 회사 소속 정보보안 인력 10여명을 두고 있다. 외주인력의 경우 담당 업무가 다양해 정확한 규모를 산출하기 어렵다는 입장이다. 미래에셋증권은 정보보호 전담인력 43명을 두고 있으며 외주인력 규모는 별도로 밝히지 않았다.

전문인력 활용 장점도…증권사 "외주 접근권한 최소화"

외주인력 비중이 높다고 해서 곧바로 보안 수준이 낮다고 보기는 어렵다는 게 업계의 시각이다. 보안관제와 시스템 운영, 취약점 점검 등 일부 분야는 전문업체가 축적한 기술과 인력을 활용하는 것이 효율적일 수 있기 때문이다.

내부 정보보호 인력을 늘리는 데 현실적인 부담도 있다. 전문인력을 직접 확보하려면 채용과 교육, 처우 등에 지속적인 비용이 발생한다. 일각에서는 빠르게 변화하는 사이버 위협에 대응하기 위한 모든 전문인력을 회사 내부에 두는 것이 현실적으로 쉽지 않다는 시각도 있다.

증권사들은 외주인력을 활용하더라도 업무와 접근권한을 분리해 보안 위험을 관리하고 있다고 강조한다.

증권업계 관계자는 "외주인력은 정보보호시스템 운영 등 사전에 정해진 업무만 수행하고 있고, 운영하는 시스템 외에는 접근권한을 최소화하고 내부인력과 권한을 분리해 운영하고 있다"며 "일일 모니터링과 점검을 통해 외주인력의 업무 수행에 따른 보안 위험을 지속적으로 관리하고 있다"고 말했다.

"외주 자체보다 통제할 내부 역량 중요"

전문가들도 외주인력의 숫자보다는 이를 관리하고 통제할 수 있는 내부 보안역량을 함께 봐야 한다고 지적한다.

내부 전문인력이 충분할 경우 회사 시스템과 업무 구조에 대한 이해를 바탕으로 취약점을 사전에 점검하고 다양한 공격 시나리오를 마련하는 등 선제적인 대응에 유리하다. 반대로 내부 전문인력이 부족한 상황에서 외주 의존도가 지나치게 높아지면 외주업체가 수행하는 업무를 제대로 감독하기 어렵고 사고 발생 시 즉각적인 의사결정이나 원인 분석, 책임소재 규명에도 어려움이 생길 수 있다.

황석진 동국대 국제정보보호대학원 교수는 "외주인력이 많다는 사실만으로 해당 증권사의 보안이 취약하다고 단정하기는 어렵다"며 "금융 IT나 보안 업무에서 관제, 시스템 운영, 취약점 점검 등 일부 기능을 전문업체에 위탁하는 것은 일반적인 방식"이라고 말했다.

그러면서 "외주인력에 대한 의존도가 상당히 높다면 보안 거버넌스 측면에서는 위험 신호로 볼 수 있다"며 "단순히 내부와 외주 인원수만 비교하기보다 내부 정보보호 전문인력과 자체 보안역량, CISO와 보안조직의 독립성, 외주인력의 시스템 접근권한과 통제 수준 등을 종합적으로 봐야 한다"고 강조했다.