정보보호 투자액, 지난해말 2억4358만원…금융·보험 평균의 2.5% 수준
KISA 공시 등록 GA는 ‘인카금융’ 유일…외주 인력은 '0명'·CISO도 비임원

법인보험대리점(GA)이 보험 판매의 주된 통로로 자리 잡으면서 개인·신용정보가 GA로 빠르게 쏠리고 있다. 초대형 GA 한 곳이 수십 개의 보험사와 모집위탁 계약을 맺고 수만 명의 설계사를 통해 계약·고객 정보를 다루는 구조다. 보험사 본사의 방어벽 안이 아니라 그 바깥에서 개인·신용정보 접점이 넓어진 셈이다.

최근 금융당국이 ‘제3자 리스크’를 들여다보기 시작한 것도 이 때문이다. 이 가운데 금융보안원은 지난 8월 25일 금융감독원과 보험사, GA 등이 참여하는 ‘보험사-GA 정보보안 협의체(이하 협의체)’를 발족했다. 그러나 GA들의 정보보호 수준을 외부에서 검증할 통로가 아직까지는 닫혀 있다는 게 업계 중론이다.

2일 한국인터넷진흥원(KISA) 정보보호 공시를 분석한 결과, 전일 기준 공시 이력을 남긴 GA는 인카금융서비스 한 곳뿐이다. 설계사 2만 명을 넘어선 초대형 GA의 4년 치 공시가 GA 업계 보안 수준을 가늠할 유일한 자료인 셈이다.

인카금융서비스의 정보보호 부문 투자액은 △2023년 공시(2022년 말 기준) 1억6297만원 △2024년 공시 1억6293만원 △2025년 공시 2억3043만원 △2026년 공시 2억4358만원으로 4년간 49.5% 증가했다. 같은 기간 금융 및 보험업 평균은 67억8900만원에서 95억5200만원으로 40.7% 늘었다.

증가율은 인카금융서비스가 금융 및 보험업 평균에 앞서지만 절대 규모의 격차는 오히려 벌어졌다. 2023년 약 66억3000만원이던 업종 평균과의 차이는 2026년 93억1000만원가량으로 확대됐기 때문이다. 업종 평균은 인카금융서비스의 39.1배 정도 많다. 지난해 인카금융서비스가 거둔 1조281억원의 매출과 견주면 당사 정보보호 부문 투자 비중은 미미한 수준이다.

인카금융서비스의 IT 부문 투자액 대비 정보보호 부문 투자 비중은 2023년 공시에서 2026년 공시까지 4.89%→3.88%→4.93%→6.26%로 올랐다. 다만 2026년 공시 비중 상승은 IT 부문 투자액 자체가 2025년 46억6900만원에서 2026년 38억9100만원으로 16.7% 줄어든 결과이기도 하다.

인력 지표의 낙차는 더 크다. 인카금융서비스의 총 임직원은 324.4명에서 394.1명으로, IT 부문 인력은 14.9명에서 35.2명으로 136.2% 늘었다.

반면 정보보호 부문 전담 인력은 3년 연속 1명에 머물다 2026년 공시에 이르러 1.3명이 됐다. 외주 인력은 4년 내내 0명으로 나타났다. 이에 따라 IT 부문 인력 대비 정보보호 부문 전담 인력 비중은 6.71%에서 3.69%로 3.02%포인트 떨어졌다. 정보기술 조직은 두 배 넘게 불렸지만 그중 보안을 전담하는 몫은 오히려 줄어든 것이다.

◇설계사 1만5886명당 보안인력 1명…36개 보험사와 맞닿은 전산

지난해 하반기 법인보험대리점 통합공시 기준 인카금융서비스의 소속 설계사는 2만652명, 지점은 777개다. 정보보호 부문 전담 인력 1.3명으로 나누면 설계사 1만5886명당, 지점 598개당 보안 인력 1명꼴이다.

정보보호 부문 관련 인증·평가 항목은 4년 연속 ‘해당사항 없음’이었고, 최고정보보호책임자(CISO)는 임원이 아닌 수석 직급자가 맡았으며, 2024년 공시까지 개인정보보호책임자(CPO)를 겸직해 왔다.

현재 인카금융서비스는 생명보험사 21곳, 손해보험사 15곳 등 36개 원수보험사와 모집위탁 계약을 맺고 있다. 한 GA의 전산 환경이 36개 보험사의 계약·고객 정보와 맞닿아 있다는 의미다. 참고로 지난해 4월에는 GA 2곳에서 1000여 명의 고객 개인·신용정보가 유출된 바 있다.

보험연구원도 지난해 5월 보고서를 통해 대법원 전산망, GS리테일, SK텔레콤과 함께 GA를 사이버 침해사고 발생 사례로 나란히 열거했다. 그리고 이에 대한 대응 수준이 여전히 미흡한 것으로 나타났다고 지적했다. 또 KISA에 신고된 침해사고가 2024년 1887건으로 전년 대비 47.8% 늘었고, 특히 보안관리가 취약한 사업자에 대한 서버 해킹이 81.3% 급증했다고 우려했다.

이런 배경에서 금융보안원이 지난 8월 25일 발족한 협의체는 △GA 특화 보안점검 기준 마련 △GA 대상 보안 컨설팅 △현장점검 확대 △최소 보안기준 마련 △모집인 맞춤형 보안교육 등을 핵심 추진과제로 정했다.

금융보안원에 따르면 초대형 GA 28개사 중 금융보안원 사원사로 현재 가입돼 있는 곳은 14개사이며, 13개사가 추가 가입을 예정하고 있다. 사원사로 가입한 GA는 보안관제와 침해사고 예방·대응, 취약점 분석·평가, 모의해킹 등의 서비스를 지원받는다.

박상원 금융보안원장은 “해킹뿐만 아니라 내부통제 미흡으로 인한 정보 유출 등 개인(신용)정보 관련 제3자의 보안사고가 금융사의 중요한 보안 리스크로 이어지고 있다”며 “협의체를 통해 보험사의 관리가 자칫 소홀할 수 있는 제3자 업무 영역까지 금융권의 보안 강화를 체계적이고 종합적으로 지속 지원해 나갈 것”이라고 밝혔다.

다만 업계 일각에서는 협의체가 자율협력 기구인 만큼 투자와 인력을 끌어올릴 제도적 유인은 아직 마련돼 있지 않다는 지적도 나온다.

업계 관계자는 “기업은 사이버 보안을 더 이상 매몰비용으로 인식하는 것이 아니라 기업가치를 높이는 전략적 도구로 활용할 수 있음을 인지할 필요가 있다”며 “당국에서도 기업의 내부통제 시스템에 사이버 리스크 관리체계 수립 및 시행 여부를 감독하고, 보안 투자에 관한 공시기준을 마련해 산업 전반의 사이버 보안 수준을 상향시키는 제도가 필요하다”고 제언했다.

그러면서 “GA는 그동안 설계사 조직 확장과 매출 성장에 자원을 집중해 왔고, 보안은 비용 항목으로만 인식돼 온 것이 사실”이라며 “제3자를 통한 유출은 보험사 본사의 방어벽과 무관하게 뚫리는 만큼, 일정 규모 이상 GA에는 보안 투자와 인력을 공시하도록 해 시장이 스스로 검증할 수 있게 하는 것이 감독 인력을 늘리는 것보다 빠른 해법일 수 있다”고 부연했다.

[CEO스코어데일리 / 백종훈 기자 / jhbaek@ceoscore.co.kr]