[로이슈 심준보 기자] 비씨카드의 정보보호 인력이 34명에서 17명으로 절반 줄었다. 정보보호 인력 비중은 7.3%, 정보보호 예산 비중은 11.0%로 카드사 8곳 가운데 모두 최하위이며, 같은 기간 나머지 7개 카드사가 정보보호 인력을 33명 늘린 것과 정반대 흐름이다. 금융감독원이 클라우드와 외부 위탁업체 관리 미흡을 지적한 뒤 정보보호 인력이 절반으로 줄었다는 점에서 보안 관리 체계의 적정성에 의문이 제기된다.

이 같은 수치는 국회 정무위원회 강민국 의원이 금융감독원으로부터 제출받은 ‘국내 금융업권 IT와 정보보호 인력 및 예산 규모’ 자료에 담겼다. 금융감독원이 집계한 자료에 따르면 카드업권 전체 정보보호 인력은 2025년 말 314명에서 2026년 6월 말 330명으로 증가했다. 반면 비씨카드는 같은 비교에서 34명에서 17명으로 줄었다. 비교 시점이 같은 조건이라면 비씨카드의 감소율은 50%로, 금융권 개별사 가운데 가장 큰 폭이다.

비씨카드를 제외한 나머지 7개 카드사의 정보보호 인력은 280명에서 313명으로 33명, 11.8% 늘었다. 카드업권 전체 인력에서 비씨카드가 차지하는 비중은 10.8%에서 5.2%로 떨어졌다. 정보보호 인력 비중은 삼성카드가 18.5%로 가장 높았으며, 비씨카드의 7.3%는 업권 평균 12.7%의 57% 수준이다. 정보기술 인력을 약 233명으로 역산하면 정보보호 인력 한 명이 IT 인력 약 13.7명을 맡는 구조다. 업권 평균인 7.8명보다 1.8배 많다.

정보보호 예산 비중도 최하위다. 비씨카드의 정보보호 예산은 IT 예산의 11.0%로, 카드업권 평균 14.2%의 77% 수준이다. 가장 높은 롯데카드의 19.3%와 비교하면 57%에 그친다. 카드업권 평균 정보보호 예산 비중은 2025년 11.0%에서 2026년 14.2%로 높아졌다. 업권이 보안 예산 비중을 끌어올리는 동안 비씨카드는 최하위에 머물렀다.

금융감독원은 2025년 11월 비씨카드에 경영유의사항을 통보했다. 제3자 서비스 관리 체계가 미흡하고 페이북 등 클라우드서비스 관리가 부실하며, 외부 위탁업체에 대한 내부감사 절차도 갖춰지지 않았다는 취지다. 보안 관리상의 문제를 지적받은 뒤 약 반년이 지난 2026년 6월 말 비씨카드의 정보보호 인력은 17명으로 집계됐다. 경영유의사항에 따른 시정 조치가 이뤄졌는지와 별개로, 보안 인력은 이전 집계보다 절반 줄어든 상태였다.

카드업계가 보안 사고에 대응해야 했던 시기와도 겹친다. 롯데카드는 2025년 8월 해킹 사고로 약 297만명의 정보가 유출됐고, 이후 업무정지와 과징금 처분을 받았다. 카드업권 전체 IT 인력은 같은 비교 기간 2680명에서 2587명으로 93명 줄었지만, 정보보호 인력은 314명에서 330명으로 늘었다. IT 인력 감소와 보안 인력 증가는 동시에 나타났지만 비씨카드에서는 정보보호 인력이 줄었다.

비씨카드는 여러 카드사의 결제 승인과 매입 업무를 대행하는 프로세싱 사업을 한다. 매입업무수익은 2024년 상반기 1조5330억원에서 2026년 상반기 1조3495억원으로 12.0% 감소했다. 우리카드 등 대형 회원사의 이탈도 이어졌다. 결제망을 처리하는 사업자의 보안 사고는 해당 회사에만 국한되지 않고 회원사와 회원사 고객에게까지 영향을 미칠 수 있는 구조다.

김 사장은 2026년 2월 20일 비씨카드 사장 임기를 시작했고, 3월 30일 대표이사로 선임됐다. 6월 말 정보보호 인력 집계는 취임 약 4개월 뒤 이뤄졌다. 김 사장은 2023년 5월부터 2024년 3월까지 비씨카드 기타비상무이사로 재직해 이사회 감독 라인에 있었으며, 현재는 보안 관리 체계를 시정하고 인력 운용의 적정성을 확보할 책임을 맡고 있다. 전임 사장 재임 시기 금융감독원의 경영유의사항이 통보됐지만, 시정 조치와 현재 인력 운용의 책임은 현 경영진의 과제로 남아 있다.

비씨카드는 정보보호 인력이 34명에서 17명으로 줄어든 원인에 대해 조직 개편, 계열사 이관, 외주 전환 또는 집계 기준 변경 여부를 설명해야 한다. 인력이 다른 조직으로 이동했다면 해당 업무의 실제 수행 인력과 보안 책임이 어떻게 배치됐는지도 핵심 쟁점이다. 금융감독원의 경영유의사항에 따른 시정 계획과 이행 현황 역시 정보보호 인력 수치만으로는 드러나지 않는다.

강민국 의원은 “금융당국은 폭증하는 사이버 보안 위협 현실에 맞는 정보보호 인력과 예산을 ‘전자금융거래법’ 하위 규정에 명문화시키고, 금융사는 AI 보안 전문가와 화이트해커 등 보안 전문인재 채용을 신속하게 하여야 할 것이다”며 금융업권 보안 인력 확보 강화를 주문했다.

심준보 로이슈(lawissue) 기자 xzvc@lawissue.co.kr