서울시, 10월 1일 언론보도로 사고 최초 인지…시금고 약정에 중대보안사고 즉시보고 의무명시 안 돼
신한은행, 차기 시금고 전산보안 평가 8점 만점에 7.936점…사고 후 특별점검서 보완사항 50건 확인
재무국장, 11월 개인정보 보호 별도 협약 체결 예정… 선정평가 개선은 행정안전부와 협의
김 의원, 사고 이력·예방·대응 역량을 선정평가에 반영하고 외부 전문기관의 독립 검증 도입 주문

서울특별시의회 김인제 의원(더불어민주당·구로2)은 지난 6일 서울시의회 행정자치위원회 재무국 소관 행정사무감사에서 서울시 제1·2금고를 맡고 있는 신한은행의 개인정보 유출 사고를 짚고, 시금고 약정에 중대한 보안사고의 즉시보고 의무와 대응 절차를 명문화할 것을 촉구했다.

서울시 제출자료에 따르면, 지난 9월 말 신한은행에서 약 2만 5000명의 개인정보가 유출됐다. 서울시는 10월 1일 오전 11시 37분 언론보도로 사고를 처음 파악했다.

이후 신한은행에 사고 경위와 보안점검을 요청하고 대응회의를 열었으며, 은행으로부터 관련 자료를 받은 것은 이튿날인 10월 2일이었다. 현행 시금고 약정에는 중대한 보안사고가 발생했을 때 은행이 서울시에 즉시 보고하도록 하는 구체적인 의무가 명시돼 있지 않았다.

신한은행은 올해 차기 시금고 선정 과정에서 ‘전산시스템 보안관리 등 전산처리능력’ 항목에 8점 만점 중 7.936점(99.2%)을 받았다. 그러나 사고 이후 시금고 관련 14개 시스템의 680개 항목을 특별점검한 결과, 보완이 필요한 사항이 50건 확인됐다. 재무국장은 감사에서 자동화된 반복 접속에 대한 대응과 로그인 다중요소 인증 등을 주요 보완 사례로 설명했다.

재무국장은 서울시의 세무 및 세입 징수 내부망과 일반 시민들이 사용하는 이택스(ETAX) 수납 시스템의 구조를 설명하며, 이번 신한은행 사고로 인해 시금고 시스템에 직접적인 침해나 치명적인 정보 유출은 발생하지 않았다고 보고했다. 이에 대해 김 의원은 기본적인 시스템 분리 조치에 안주하지 말고, 실제 발생할 수 있는 사이버 공격에 대한 탐지 및 대응 능력을 끊임없이 검증해야 한다고 쓴소리를 던졌다.

김 의원은 중대 보안사고가 터졌을 때 즉시 보고하고 신속하게 대응하는 절차를 명확히 규정할 것, 과거 사고 이력과 예방·대응 역량을 시금고 선정 평가에 적극 반영하도록 기준을 개선할 것, 그리고 외부 전문 기관을 통한 독립적인 보안 검증을 실시할 것을 강력히 주문했다. 특히 은행 자체적으로 수행한 점검 결과를 외부에서 교차하여 철저히 확인하고, 특별 점검 과정에서 발견된 미비점들에 대해 실제 개선 조치가 이루어졌는지 꼼꼼히 재점검할 필요가 있다고 역설했다.

이에 재무국장은 지난 6월에 맺은 포괄 협약을 바탕으로 오는 11월 중에 개인정보 보호와 관련된 별도의 세부 업무 협약을 체결할 계획이며, 다양한 사고 유형별 모의 시험 결과 등을 종합적으로 반영하여 실효성 있는 보안 대책을 구체화하겠다고 답변했다. 아울러 시금고를 선정할 때 보안 절차와 신고 체계를 평가 항목에 반영하는 방안은 행정안전부와 긴밀히 협의해 나가겠다고 덧붙였다.

끝으로 김 의원은 서울시가 행정안전부에 평가 기준 개선을 적극적으로 건의하는 한편, 다가올 차기 시금고 운영 시기에 앞서 철저한 사고 보고와 엄정한 보안 검증 체계를 완벽히 갖추어 달라고 거듭 당부했다.

김지수 리포터