참가은행 자체점검에 의존한 보안 검증
실거래 뒤에도 외부 사후감사는 없었다
![[사진=연합뉴스]](https://wimg.mk.co.kr/news/cms/202607/21/news-p.v1.20260720.1c2a7f5a71d94a448ad44b2a7b8b37e0_P1.jpg)
한국은행이 주도한 CBDC(중앙은행 디지털화폐) 1단계 파일럿테스트가 정식 검사·점검 없이 사전 보안점검만 거친 채 진행된 것으로 확인됐다. 실거래 과정에서 보안 우려가 제기되자 한국은행은 결과보고서를 통해 직접 해명에 나섰지만, 독립적인 제3자 검증이 아닌 자체 설명에 그쳤다는 지적이 나온다.
20일 금융감독원이 이헌승 국민의힘 의원실에 제출한 자료에 따르면, 한국은행 주도로 지난해 4월부터 6월까지 3개월간 진행된 CBDC 1단계 실증사업 기간 동안 금융당국의 별도 보안 검사나 점검은 이뤄지지 않은 것으로 확인됐다.
사업 개시 전인 2월 참가은행을 대상으로 한 사전 보안성 검토와 IT취약점 자체 분석·평가가 전부였다. 문제는 이 점검마저 ‘자체 점검’에 크게 의존했다는 점이다. IT취약점 분석·평가는 금융보안원·SK쉴더스와 함께 참가은행인 우리은행·농협은행의 자체점검반이 맡아 진행했다. 감독을 받아야 할 당사자가 스스로를 점검하는 구조였던 셈이다.
이런 가운데 한국은행이 공개한 ‘1차 실거래 파일럿 결과보고서’에는 실제로 예금 토큰의 보안성에 대한 우려가 제기됐음을 인정하는 대목이 담겼다. 보고서 말미 ‘참고 10 디지털화폐에 대한 오해와 진실’ 항목에서 한국은행은 “예금 토큰은 IT 보안에 취약하다”는 항간의 지적에 대해 “그렇지 않다”고 반박하며, 그 근거로 “프로젝트 한강 착수 전 관련 시스템 전반에 대하여 IT 보안성 검토를 철저히 진행했다”고 설명했다.
하지만 이 해명은 한국은행 스스로 해당 시스템에 대해 자체적으로 내린 평가에 불과하다. 해당 보안점검조차 참가은행 자체점검반이 담당했고, 파일럿 종료 이후 독립적인 사후 검사나 외부 감리가 이뤄졌다는 근거는 이번 자료들에서 확인되지 않았다. 통화 시스템의 근간을 바꿀 수도 있는 실험에 대해 “우려가 근거 없다”는 판단마저 실험을 수행한 당사자가 직접 내리고 있는 셈이다.
더구나 예금토큰·CBDC와 관련해 금감원과 은행권 간 실질적 협의는 3년간 단 1건(신한은행, 예금토큰 연계 보험상품)에 그쳤고, 은행권에 전담조직조차 마련되지 않은 상태다. 감독 인프라가 상대적으로 얇게 갖춰진 채로 중앙은행 주도의 대형 실험이 먼저 진행된 모양새인 것이다.
이에 대해 한국은행 측은 “사전 보안 점검을 확실히 했기 때문에 테스트 중간이나 사후에는 점검을 하지 않아도 문제가 없다고 판단했고, 이는 금융감독원의 감독 절차에 따른 것”이라고 설명했다.
업계 관계자는 “실거래 파일럿은 기술 검증뿐 아니라 국민 신뢰를 확보하는 과정”이라며 “사업 수행기관이 스스로 안전성을 평가하고 설명하는 구조만으로는 객관성을 확보하기 어렵다. 사후 외부감사와 독립적인 보안 검증이 병행돼야 시장 신뢰를 얻을 수 있다”고 말했다.
English (US) · 