금융권 정보보호 예산 늘었지만 집행률은 69%

5대 시중은행과 인터넷전문은행이 2025년 정보보호 예산으로 편성한 금액은 3,978억 원이었습니다. 그러나 이 가운데 실제로 쓰인 비율은 69.0%에 그쳤습니다. 이양수 국민의힘 의원이 금융감독원으로부터 제출받은 집계에서 확인된 내용입니다.

두 해를 나란히 놓으면 흐름이 더 분명해지는데요. 편성액은 2023년 3,282억 원에서 2년 새 21.2% 늘었지만, 집행률은 같은 기간 74.5%에서 69.0%로 떨어졌습니다. 예산이 늘수록 쓰지 않은 돈도 함께 쌓이는 구조가 이어지고 있는 셈이죠.

은행별 차이는 꽤 크죠. 우리은행은 정보보호 예산을 2023년 523억 원에서 2025년 787억 원으로 50% 넘게 늘렸지만, 집행률은 78.6%에서 53.8%로 급락했습니다. 신한은행도 예산을 꾸준히 늘렸으나 2025년 집행액은 2024년보다 오히려 줄었습니다. 반면 하나은행은 2025년 편성한 530억 원을 전액 집행해 집행률 100%를 기록했습니다.

사고가 난 뒤에도 줄어든 예산

예산이 쓰이지 않는 문제는 실제 사고와 맞물려 있습니다. 롯데카드는 2025년 해킹 사고로 약 297만 명의 고객정보가 유출되는 피해를 입었고, 이 가운데 약 28만 명은 카드번호와 보안코드(CVC) 같은 결제 민감 정보까지 포함돼 있었습니다.

그런데 사고 이후에도 예산은 늘지 않았습니다. 금융감독원 집계에 따르면 롯데카드는 사고 이후인 2025년 정보보호 예산을 151억 원에서 128억 원으로 오히려 줄여 편성했습니다. 금융위원회와 금융감독원은 이 사고에 대한 제재 수위를 논의하고 있는데요.

5·5·7 룰 폐지와 공시 의무화

규제 기준도 바뀌고 있습니다. 과거 금융당국은 전체 IT 예산의 7% 이상을 정보보호에 배정하도록 권고하는 이른바 ‘5·5·7 룰’을 운영했지만, 이 기준은 현재 폐지된 상태입니다.

대신 금융당국은 전자금융거래법을 개정해 금융사의 정보보호 수준을 공시하도록 의무화하는 방향으로 정책 축을 옮기고 있습니다. 이 방향을 두고 이양수 의원은 “사이버 위협이 커지는 상황에서 금융권은 선제적 정보보호 투자와 집행을 소홀히 해서는 안 된다”고 말했습니다. 금융당국도 편성 예산이 실제로 제대로 집행되는지 점검해야 한다고 덧붙였습니다.

다음 관전 포인트는 롯데카드 사고에 대해 금융위원회와 금융감독원이 어떤 제재 수위를 정할지입니다. 전자금융거래법 개정으로 정보보호 수준 공시가 실제 도입될지도 함께 지켜볼 대목이죠.