[이코노미스트 이승훈 기자] 보험업권에서 처음으로 해킹에 따른 고객정보 유출 사고가 신고된 미래에셋생명의 보안 관리와 내부통제 체계가 시험대에 올랐다. 금융감독원이 사고 경위와 피해 규모를 조사하는 가운데 이찬진 금감원장이 보험사 등 대형 금융회사 최고경영자(CEO)의 보안 관리 책임을 엄중히 묻겠다고 밝히면서다. 특히 김재식 부회장과 황문규 대표의 각자대표 체제에서 사전 보안 점검과 경영진의 관리·감독 의무가 제대로 이행됐는지가 주요 쟁점으로 떠오르고 있다. 

금융권에 따르면 미래에셋생명은 10월 25일 홈페이지와 청약시스템에서 이상 징후를 발견한 뒤 이튿날 고객 개인신용정보 유출 사실을 확인했다. 이후 외부 전문기관과 함께 사고 원인을 분석하고 시스템 복구에 나섰다. 금감원도 정보기술(IT)·보험검사 인력을 투입해 사고 경위와 피해 범위를 조사하고 있다. 

현재까지 정확한 개인정보 유출 규모는 확정되지 않았다. 보험사는 고객의 기본 개인정보뿐 아니라 가입·심사 과정에서 건강 관련 정보도 취급하는 만큼 유출된 정보의 종류에 따라 파장이 달라질 수 있다. 다만 이번 사고에서 건강정보 등 민감정보가 실제 유출됐는지는 확인되지 않았다. 

미래에셋생명 관계자는 “피해 건수를 여러 차례 확인하고 있지만 아직 확정된 규모는 나오지 않았다”며 “금감원과 함께 관련 내용을 계속 분석하고 있다”고 말했다. 

이번 사고를 계기로 경영진의 보안 관리 책임도 주목받고 있다. 이찬진 금감원장은 11월 3일 임원회의에서 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서도 은행권과 동일하게 CEO 등 경영진의 책임을 엄중히 묻겠다고 밝혔다. 사고 발생 여부뿐 아니라 사전에 보안 취약점을 점검하고 필요한 개선 조치를 이행했는지가 책임 판단의 핵심이다. 

미래에셋생명은 김재식 부회장이 경영관리, 황문규 대표가 영업 부문을 맡는 각자대표 체제로 운영되고 있다. 두 대표는 올해 3월 연임해 내년 3월 임기 만료를 앞두고 있다. 금융당국이 CEO의 보안 관리 책임을 강조한 만큼 향후 조사 결과가 경영진 평가에도 영향을 미칠 가능성이 있다. 

특히 금융회사 임원의 내부통제 책임을 명확히 하는 책무구조도가 실제로 작동했는지도 관건이다. 책무구조도에 따라 정보보호 관련 책무를 담당하는 임원뿐 아니라 대표이사의 관리·감독 의무 이행 여부도 살펴볼 필요가 있다는 지적이다. 다만 해킹 사고가 발생했다는 사실만으로 경영진의 책임이 인정되는 것은 아니며, 사전 예방 조치와 보고체계 등이 적절히 작동했는지에 대한 확인이 필요하다. 

미래에셋생명은 현재 사고 수습과 시스템 정상 복구에 집중하고 있다. 회사 관계자는 “11월 1일부터 관계 인력들이 24시간 근무하고 있다”며 “시스템 복구와 피해 규모 파악 등 시급한 문제를 해결하는 데 우선적으로 대응하고 있다”고 설명했다. 

보안 강화와 재발 방지 대책도 내부적으로 논의하고 있지만 구체적인 방안은 아직 확정되지 않았다. 미래에셋생명 관계자는 “기존에도 필요한 보안 관리 조치를 시행해 왔다”며 “점검 과정에서 미흡한 부분이 확인되면 보완책을 마련해 보안 조치를 더욱 강화할 것”이라고 말했다.

향후 금감원 점검에서 사고 원인과 보안 관리 실태가 얼마나 구체적으로 확인되는지가 관건이다. 특히 취약점에 대한 사전 대응과 경영진의 관리의무 이행 여부가 향후 책임 판단의 주요 기준이 될 전망이다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지