금융정보 유출 방지를 위한 내부통제 체계 강화 방안에 관한 연구 = A Study on Strengthening Internal Control Systems to Prevent Financial Information Leakage

국문 초록 (Abstract)

현대 금융 산업은 디지털 전환의 가속화와 함께 데이터가 핵심 자산으로 기능하는 데이터 경제 시대로 진입하였다. 모바일 뱅킹, 인터넷 금융 서비스, 핀테크의 발전으로 금융 서비스의 비대면화가 확산됨에 따라 금융기관은 과거보다 훨씬 방대한 양의 데이터를 생성·수집·저장·활용하고 있다. 특히 고객의 자산 정보, 거래 내역, 신용 정보뿐만 아니라 주민등록번호, 계좌 정보 등 고도로 민감한 개인식별정보를 대량으로 처리하는 산업적 특성을 가지며, 이러한 정보는 금융 서비스 운영의 핵심 자산이자 동시에 가장 중요한 보호 대상이다.

이와 같은 환경에서 금융정보는 단순한 정보 자산을 넘어 금융기관의 신뢰와 경쟁력을 결정짓는 핵심 요소로 자리 잡고 있다. 금융정보 유출 사고가 발생할 경우 금융 소비자의 직접적인 금전적 피해뿐만 아니라, 대규모 집단 민원 및 소송, 금융당국의 제재, 기업 이미지 훼손 등 심각한 사회적·경제적 파급효과를 초래할 수 있다. 이에 따라 금융권에서는 망 분리 정책, 데이터 유출 방지, 접근통제 시스템 등 다양한 기술적·관리적 통제 체계를 도입하여 개인정보 보호 수준을 강화해 왔다.
그러나 이러한 노력에도 불구하고 최근 금융권에서 발생한 개인정보 유출 사고를 분석해 보면, 보안 위협의 양상이 근본적으로 변화하고 있음을 확인할 수 있다. 과거에는 외부 해커에 의한 시스템 침입이 주요 위협으로 인식되었으나, 최근에는 정상적인 접근 권한을 가진 내부자에 의한 정보 유출 사례가 지속적으로 발생하고 있다. 내부자는 이미 시스템 접근 권한을 보유하고 있으며, 데이터 구조와 업무 프로세스를 이해하고 있기 때문에 외부 공격자보다 훨씬 정교하고 은밀한 방식으로 정보 유출을 수행할 수 있다.

이러한 내부자 위협의 대표적인 사례로, 국내 금융권에서 발생한 SC은행 및 씨티은행 개인정보 유출 사건을 들 수 있다. 해당 사건에서는 은행 내부 직원과 외주업체 직원이 정당한 접근 권한을 이용하여 고객 개인정보를 대량으로 조회한 후, 이를 문서로 출력하거나 USB 저장장치를 통해 외부로 반출한 것으로 확인되었다. 특히 씨티은행의 경우 내부 직원이 약 3만 건 이상의 고객 정보를 출력물 형태로 외부 대출모집인에게 전달하였으며, SC은행에서는 외주업체 직원이 약 10만 건 이상의 고객 정보를 USB에 저장하여 외부로 유출한 사실이 밝혀졌다. 1）


또한 해당 사건에서 유출된 개인정보는 단순히 일회성으로 사용된 것이 아니라, 대출모집인 및 불법 사금융 조직을 통해 재유통되며 추가적인 범죄에 활용된 것으로 나타났다. 검찰 조사 결과, 금융기관에서 유출된 고객 정보는 건당 금액으로 거래되며 시장에서 유통되고 있었고, 일부 유출 데이터는 수백만 건 단위로 확산된 정황도 확인되었다.

이 사례는 다음과 같은 중요한 시사점을 제공한다. 첫째, 내부자는 정당한 권한을 기반으로 개인정보에 접근하기 때문에 기존의 접근통제 체계만으로는 유출 행위를 효과적으로 차단하기 어렵다는 점이다. 둘째, 개인정보 조회, 출력, 저장, 외부 전달 등 일련의 행위가 서로 분리된 채 관리됨으로써, 전체 유출 흐름을 통합적으로 탐지하지 못하는 구조적 한계가 존재한다는 점이다. 셋째, 외주 인력과 같은 확장된 내부자의 보안 관리가 미흡할 경우, 내부 통제 체계 전반이 무력화될 수 있다는 점이다. 2）

이처럼 금융권 내부자 유출 사고는 단순한 기술적, 관리적, 정책적 취약점이 아닌, 보안 체계 전반의 구조적 문제에서 기인한다. 현재 금융기관의 보안 체계는 접근통제, 데이터 보호, 로그 관리 등 개별 기술 중심으로 구축되어 있으며, 개인정보의 생성부터 활용, 반출에 이르는 전 과정의 흐름을 통합적으로 관리하는 데에는 한계가 존재한다.
예를 들어, 사용자가 개인정보를 조회하는 행위와 이를 파일로 저장하거나 외부로 전송하는 행위는 서로 다른 시스템에서 관리되는 경우가 많아, 이를 하나의 연속된 행위로 인식하고 분석하기 어렵다. 이로 인해 내부자가 개인정보를 단계적으로 축적하고 외부로 반출하는 경우에도 이를 사전에 탐지하지 못하고 사후 분석에 의존하는 문제가 발생한다.

더불어 최근 금융 환경의 변화는 이러한 문제를 더 심화시키고 있다. 클라우드 기반 시스템 도입, 오픈뱅킹 및 마이데이터 서비스 확산, 외주 개발 및 협력업체 증가 등으로 인해 개인정보가 이동하는 경로와 처리 주체가 다양해지고 있으며, 이에 따라 내부자의 범위 또한 확대되고 있다. 이러한 환경에서는 기존과 같은 경계 중심 보안 모델로는 데이터 흐름 전체를 통제하기 어려우며, 보다 정교하고 동적인 통제 체계가 요구된다.

그럼에도 불구하고 현재 금융권의 내부 통제 체계는 여전히 정적 권한 관리와 사후 로그 분석 중심으로 운영되는 경우가 많으며, 사용자 행위의 맥락을 반영한 실시간 탐지 체계는 충분히 정착되지 못한 실정이다. 특히 내부자의 개인정보 접근 행위가 실제 업무 목적과 부합하는지 여부를 판단하거나, 비정상적인 데이터 활용 패턴을 분석하는 기능은 제한적으로 적용되고 있다. 이는 결과적으로 내부자에 의한 개인정보 유출을 사전에 예방하기보다는 사고 발생 이후 대응에 의존하는 구조적 취약성을 야기한다.

따라서 본 연구는 금융권을 대상으로 내부자에 의한 금융정보 유출 문제를 심층적으로 분석하고, 기존 내부 통제 체계의 구조적 한계를 도출하는 것을 주요 목적으로 한다. 나아가 개인정보 처리 전 과정에 대한 흐름 기반 분석과 사용자 행위 맥락을 반영한 통합 통제 체계를 제안하고, 제로 트러스트 기반의 동적 접근통제 및 인공지능 기반 행위 분석 기술을 접목함으로써 내부자 위협에 효과적으로 대응할 수 있는 개선 방안을 제시하고자 한다. 특히 최근 금융권에서 활용되고 있는 머신러닝 및 딥러닝 기반의 이상 행위 탐지, 사용자 행위 분석, 그리고 생성형 인공지능을 활용한 보안 이벤트 상관 분석 및 자동 대응 기술을 반영하여, 고도화되는 내부자 위협에 선제적으로 대응할 수 있는 지능형 보안 체계 구축 방향을 제시한다. 궁극적으로 본 연구는 금융권의 개인정보 보호 수준을 향상하고, 데이터 중심 금융 환경에서 요구되는 새로운 보안 패러다임 수립에 기여하는 것을 목표로 한다.

다국어 초록 (Multilingual Abstract)

Due to the nature of the financial sector, which involves handling large volumes of sensitive financial information, financial data breaches carry significant social repercussions; consequently, this is an area where the importance of internal control systems is particularly emphasized. Therefore, this study focuses on analyzing the issue of financial data leakage by insiders within the financial sector and deriving effective control measures. The scope of this research is limited to personal information leakage caused by insiders possessing legitimate access rights to internal systems, rather than financial data leakage resulting from system intrusion or hacking by external attackers. Here, ＂insiders＂ include not only regular employees of financial institutions but also all human resources capable of accessing internal systems, such as outsourced developers, dispatched workers, and personnel from partner companies. In particular, the study analyzes leakage pathways and risk factors centered on a series of actions by insiders, such as viewing, processing, accumulating, and exporting financial information. Based on this analysis, the study identifies key issues in the financial sector's internal controls and derives a plan to transition to an integrated internal control system that includes insider behavior control, supply chain security, and legal and institutional frameworks to address these shortcomings.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 배경 및 목적 1
• 제2절 연구의 범위 및 방법 6
• 1. 연구의 범위 6
• 2. 연구의 방법 7
• 제2장 금융정보 보호 및 내부 통제 관리 실태 8
• 제1절 금융정보의 개념과 범위 8
• 1. 금융정보의 개념 8
• 2. 금융정보의 범위 11
• 3. 금융정보의 유형 14
• 제2절 금융정보에 대한 내부통제 현황 21
• 1. 국내 금융정보 내부통제 현황 21
• 2. 해외 금융정보 내부통제 현황 27
• 제3절 국내외 금융권 주요 금융정보 유출 사고 사례 34
• 1. 내부자에 의한 고의적 정보 유출 사례 34
• 2. 외부 공격과 내부 통제 미흡이 결합된 유출 사례 43
• 3. 협력업체 및 제 3자 관리 미흡에 따른 유출 사례 46
• 제3장 내부자 금융정보 유출의 원인과 통제 체계의 한계 51
• 제1절 금융정보 내부 유출 발생 원인 51
• 1. 관리적 통제의 형식화에 따른 실효성 저하 51
• 2. 기술적 통제의 우회 가능성 59
• 3. 내부자 인식 부족 및 조직 문화에 따른 보안 취약성 68
• 제2절 금융정보 보호 통제 체계의 한계 76
• 1. 정당한 접근 권한 기반 내부자 행위에 대한 통제의 한계 76
• 2. 금융정보 유출 전 과정에 대한 탐지 체계의 구조적 한계 81
• 제4장 내부자 정보 유출 방지를 위한 내부 통제 체계 강화 방안 89
• 제1절 관리적,정책적 내부통제 강화 방안 89
• 제2절 기술적 내부통제 강화 방안 97
• 제3절 법적 제도적 내부통제 강화 방안 105
• 제5장 결 론 112
• 참 고 문 헌 115
• ABSTRACT 123