[사설] 금융사 보안공시에 파격 인센티브 주라

카드사 등 금융업권을 막론하고 잊을만하면 대형 정보보호·IT보안 사고가 터지곤 한다. 한 번 터졌다 하면 수백만 명에서 전 국민 숫자에 버금가는 개인정보가 노출되고 자산 안전까지 위협받는다.

그런데도 정작 이들이 보안 시스템 강화나 정보보호에 얼마나 투자하고 있는지 보여주는 제도적 지표인 '정보보호 공시' 참여율은 참담하리만치 저조하다. 올해 과학기술정보통신부와 한국인터넷진흥원(KISA) 공시 포털에 참여한 금융사는 은행 8곳, 증권 10곳, 카드사 단 1곳에 불과했다.

이 같이 초라한 공시율의 일차적 원인은 금융회사가 현행법상 정보보호 공시 의무 대상에서 빠져있기 때문이다. 현행 대규모 상장법인이나 데이터센터, 상급병원 등으로 대상을 제한하고 있다. 정부가 이를 개선하기 위해 공공기관과 금융사업자 등을 의무 대상에 포함하는 정보보호산업법 시행령 개정안을 입법예고했으나, 규제심사 지연과 부처 개편 등의 이유로 법 발효는 내년 이후로 밀려났다.

많은 금융사가 ESG(환경·사회·거버넌스)경영 일환으로 지속가능경영보고서를 통해 정보보호 현황을 공개하고 있긴 하다. 그러나 백 수십 페이지에 달하는 방대한 보고서 중 금융 소비자가 보안 투자 내용을 파악하기도 쉽지 않을뿐더러 핵심 보고 내용으로 다뤄지지도 않는다.

목적상 일관된 양식과 검증 체계를 갖춘 정보보호 공시 포털에 자발적으로 참여하는 경영 방침 확립이 시급한 이유다. 금융사들은 법이 강제하기 전에 먼저 자진해서 정보보호 투자 규모, 전담 인력 현황, 보안 취약 분야, 그리고 가상의 사고 발생 시 구체적 대응 방안을 투명하게 공시해야 한다. 신뢰를 최우선 사업기반으로 하는 금융기관이 고객 안전을 입증하는 것보다 중요한 경영 과제는 없다.

정부 역시 입법 시기만 저울질할 때가 아니다. 의무화 법안 시행만 기다릴 것이 아니라, 올해 안에 당장 실행 가능한 '자율 공시 진작책'을 도입해야 한다. 현재 제공되는 인증 수수료 할인이나 우수기업 표기 같은 미미한 인센티브로는 참여를 끌어내기 어렵다.

자율 공시에 참여하는 금융사에 대해 정보보호 투자금액 세액공제를 확대해주거나, 불가피한 외부 해킹이나 보안 사고가 발생하더라도 평소 선제적 투자를 아끼지 않고 자율 공시에 성실히 참여한 기업에 대해선 행정 처분 시 과징금 감경 등 전향적 참작 기준을 마련해 줄 필요가 있다.

무엇보다 금융회사 스스로, 정보보호를 마지못해 하는의무로 여기기보다는 고객을 향한 무한 책임의 자세로 받아들이는 문화 확립이 필수적이다.