핵심 요약
- 금융권 내부 직원의 고객 금융거래 정보 무단 조회 및 사적 유용 사례가 잇따라 적발되며 기존 내부통제 체계의 구조적 한계가 드러났다.
- 외주 개발·운영 인력 관리 소홀로 인한 비인가 데이터 다운로드 사고가 발생하며 협력사·위탁사 통제 공백이 문제로 부상했다.
- 표본 추출 방식의 정기 사후감사만으로는 지능화된 내부자 위협을 적시에 탐지하기 어렵다는 평가가 확산되고 있다.
금융 내부통제 패러다임 전환의 배경, 당국의 규제 강화 움직임, 상시 모니터링 체계의 실무적 시사점을 균형 있게 분석하는 해설형 기사
목차
금융 내부통제의 사각지대를 드러낸 사건이 2024년 시중은행에서 발생했다. 고객 1만여 명의 금융거래 정보를 담당 직원이 업무 시간 외에 반복 조회한 사실이 내부 점검에서 뒤늦게 드러났다. 이미 조회한 정보는 외부로 유출된 뒤였고, 피해는 더 커지기 전에 우연히 발견됐다. 이 사건은 표본추출 방식의 정기 사후감사만으로는 내부자 위협을 적시에 잡아낼 수 없다는 현실을 적나라하게 보여줬다.
이후 금융 내부통제는 근본적인 전환점을 맞고 있다. 정기 사후감사에서 접속기록 기반 상시 모니터링 중심으로, 그리고 임원의 모호한 책임에서 책무구조도에 따른 구체적 책임으로 재편되는 흐름이 가속화되고 있다. 보안뉴스 보도에 따르면 최근 적발된 내부 정보 유출 사례 상당수가 시간 외 접근과 외주 인력 경로를 통해 발생했다.
기존 사후감사의 구조적 한계와 지능화된 내부자 위협
대부분 금융회사의 내부통제는 월 1~2회 표본감사 형태로 운영돼 왔다. 전체 거래 중 무작위로 0.5~1% 정도를 추출해 사후적으로 확인하는 방식이다. 이 구조적 한계는 금융 내부통제 실무에서 오래 지적돼 온 부분이기도 하다. 비용과 인력 문제로 쉽게 바뀌지 않았다.
문제는 표본에서 빠진 99%의 영역이다. 내부자가 의도적으로 사각지대를 노리면 표본감사는 무력화된다. 퇴근 시간대, 휴일, 협력사 계정으로 접근하는 경우 대부분 표본에서 누락된다. 필자가 이 지점에서 가장 우려하는 건, 지능화된 내부자일수록 표본감사라는 공통 약점을 정확히 파악하고 있다는 점이다.
내부자 위협의 형태도 달라졌다. 단순 호기심 조회를 넘어 조직화된 유출, 외주 개발·운영 인력을 통한 우회 접근, 그리고 본인은 깨끗하게 보이게 하면서 시스템을 악용하는 사례까지 등장했다. 2023년 카드사 협력사 직원이 고객 정보를 내려받은 사고가 대표적으로, 권한 관리 부재가 직접적 원인으로 지목됐다.
당국의 규제 강화: 책무구조도와 양대 법률 개정
금융당국은 이런 현실에 맞춰 규제 프레임을 바꾸고 있다. 핵심 키워드는 책무구조도다. 2024년 본격 도입된 책무구조도는 임원별로 관리해야 할 구체적 업무와 책임을 문서화하도록 요구한다. “알고 있었다”는 변명이 통하지 않게 만들었다는 점에서 의미가 크다.
신용정보법과 개인정보보호법도 함께 강화되는 방향이다. 개인정보 유출 시 통지 의무가 명확해졌고, 과징금 상한이 확대됐으며, 대표이사의 직접 책임 조항이 도입됐다. 한 은행 간부 출신은 “이제 잘못된 지시나 방치가 곧 개인 형사책임으로 이어질 수 있어 임원진의 인식 자체가 달라졌다”고 말했다. 실무자 입장에서 눈에 띄는 변화는 컴플라이언스 팀이 형식적 점검에서 실질적 통제 조직으로 무게중심을 옮기기 시작한 점이다.
상시 모니터링 체계의 4가지 핵심 요소
그렇다면 실무에서 상시 모니터링은 어떤 모습이어야 할까. 핵심은 접속기록의 전수 수집과 실시간 분석이다.
첫째, 모든 업무 시스템의 사용자 접속기록을 단일 로그 저장소로 통합해야 한다. 영업점 단말, 콜센터, 외주 협력사 VPN, 관리자 콘솔까지 동일한 기준의 타임스탬프와 사용자 ID로 기록돼야 의미 있는 분석이 가능하다. 둘째, 이상징후 탐지 룰을 정교하게 설계해야 한다. 단순 임계치가 아니라 행위 패턴 분석으로 가는 게 핵심이다.
셋째, 탐지된 이상징후는 즉시 컴플라이언스 팀과 담당 임원에게 자동 통보되도록 설계해야 한다. 탐지와 조치가 분리되면 효과는 반감된다. 넷째, 협력사·위탁사 관리다. 외주 인력의 접근 권한을 업무 단위로 최소화하고, 작업 종료 시점에 자동으로 권한이 회수되도록 설정해야 한다.
금융 내부통제, 어디로 가고 있나
금융 내부통제의 전환은 이제 시스템 도입의 문제가 아니라 조직 문화의 문제에 가깝다. 상시 모니터링은 본질적으로 직원 행위에 대한 지속적 감시라는 저항을 수반한다. 모니터링이 직원 보호와 고객 신뢰를 위한 수단이라는 메시지가 회사 차원에서 분명히 전달돼야 저항을 줄일 수 있다.
또한 수집만 해놓고 분석하지 못하는 사례가 적지 않다. SIEM 같은 도구 도입과 함께 분석 인력 양성이 병행돼야 실효성이 나온다. 결국 금융 내부통제의 본질은 “사고가 난 뒤에 누가 책임지느냐”가 아니라, “사고가 나기 전에 어떻게 잡아내느냐”로 옮겨가고 있다. 무게중심이 사후에서 상시로, 표본에서 전수로, 형식적 책임에서 실질적 책임으로 이동하는 과정이 지금 진행 중이다.
쟁점 정리
- 상시 모니터링은 직원 행위에 대한 지속적 감시라는 저항을 수반하므로, 회사 차원의 명분과 목적 공유가 선행돼야 한다
- 접속기록 수집량 증가에 따른 분석 역량 병행 확보 없이는 경보 피로와 형식적 운영에 빠질 위험이 있다
- 협력사·위탁사 접근 권한의 업무 단위 최소화 및 작업 종료 시 자동 회수 정책이 통제 공백을 막는 핵심 수단이다
지금 바로 해볼 것
- 현재 내부통제 체계의 표본 추출 비율과 점검 주기를 파악해 상시 모니터링 도입 필요성을 경영진에 보고한다
- 전사 업무 시스템의 접속기록이 단일 로그 저장소로 통합돼 있는지 확인하고 미비 시 통합 계획을 수립한다
- 업무 시간 외 대량 조회, 권한 외 접근 등 핵심 이상징후 룰을 도출해 SIEM 등 탐지 시스템에 등록한다
- 외주 협력사 접근 권한을 업무 단위로 최소화하고 작업 종료 시 자동 회수되도록 권한 정책을 점검한다
- 탐지된 이상징후가 컴플라이언스 팀과 임원에게 자동 통보되는 에스컬레이션 경로를 설계한다
기존 사후감사와 상시 모니터링 비교
| 구분 | 기존 사후감사 | 상시 모니터링 |
|---|---|---|
| 점검 방식 | 월 1~2회 표본추출 (전체의 0.5~1%) | 접속기록 전수 실시간 분석 |
| 탐지 시점 | 사고 발생 후 사후 | 이상징후 발생 즉시 |
| 대상 | 정규 직원 위주 | 정규 직원 + 외주 협력사 포함 |
| 책임 소재 | 팀 단위 모호한 책임 | 책무구조도 기반 임원별 구체 책임 |
| 이상징후 대응 | 표본에서 발견 시 수동 조사 | 자동 알림 및 에스컬레이션 |
자주 묻는 질문
책무구조도 도입이 기존 금융 내부통제와 다른 핵심은 무엇인가
책무구조도는 임원별로 관리해야 할 구체적 업무와 책임을 문서화하도록 요구한다. 기존에는 책임을 묻기 어려웠던 모호한 영역이 사라지고, 문제 발생 시 누구의 책무인지 즉시 특정할 수 있게 됐다.
상시 모니터링은 직원 사기 저하를 일으키지 않는가
이런 우려는 자연스럽지만, 모니터링의 목적을 고객 정보 보호와 직원 보호로 명확히 설명하고 대상을 업무 관련 행위로 한정하면 저항을 상당 부분 줄일 수 있다. 사내 커뮤니케이션 전략이 함께 가야 효과적이다.
접속기록 기반 상시 모니터링을 도입할 때 가장 큰 기술적 과제는 무엇인가
로그 통합과 실시간 분석이다. 여러 시스템에 분산된 접속기록을 단일 저장소로 모으고, 이를 SIEM 같은 도구로 실시간 분석하는 인프라 구축이 선행돼야 의미 있는 탐지가 가능하다.
소규모 금융회사도 상시 모니터링 체계를 도입할 수 있는가
전체 SIEM을 자체 구축하기 어려우면 클라우드 기반 보안 분석 서비스를 활용하는 방법이 있다. 핵심은 도구의 크기가 아니라 로그 통합과 이상징후 룰의 완성도다.
참고 원문
이 기사는 다음 원문을 확인해 작성했습니다: 보안뉴스 — 금융권 내부통제 실효성 강화 방안 : ‘정기 사후감사’에서 ‘접속기록 기반 상시 모니터링’으로