지난 2020년 국민은행(은행장 이재근)이 가동한 ‘더케이 프로젝트’ 과정에서 논란이 된 빔(Veeam) 소프트웨어(지사장 김기훈)의 ‘리눅스 OS 백업’ 논란이 2년이 지난 현재까지 이어지고 있어, 파문이 일고 있다. 

결론부터 정리하면, 더 케이 프로젝트가 끝난지 만 2년여가 지난 2022년까지 빔 소프트웨어의 ‘리눅스 OS 자동백업’ 중 아이디, 패스워드 백업 자동관리 기능이 제공되지 않고 있고, 이 기능 이슈 때문에 500여대가 넘는 서버를 인력이 직접 관리하고 있다는 게 국민은행 주장이다.

국민은행은 더 이상 빔 소프트웨어를 신뢰할 수 없다고 판단, 전면 교체 카드를 꺼내들고 2023년 새 소프트웨어 도입 예산에 반영할 것으로 알려졌다. 

빔 소프트웨어 논란은 여기서 더 나아가 자칫, 당시 ‘더 케이 프로젝트’를 추진했던 담당자 등 징계 필요성까지 거론되는 등 일파만파로 확산될 조짐이다. 

국민은행과 빔 소프트웨어 사이 또는 빔 소프트웨어 OS 백업을 공급한 메타넷그룹 등 다자간 법적분쟁, 당시 관련 사실을 인지하고도 공문 몇장 받고 구체적인 사실을 지금까지 방관해 온 담당자 등 징계 가능성이 필요하다는 게 업계 시각이다.

◆빔 소프트웨어 ‘리눅스 OS’ 자동백업 논란 핵심은 = 관련 내용은 지난 2020년으로 거슬러 올라간다. 

당시 ‘더 케이 프로젝트’를 추진하던 국민은행은, 2020년 2월 설치한 빔 소프트웨어 리눅스 운영체제 백업 솔루션이 아이디, 패스워드를 자동으로 백업하는 기능이 제공되지 않아, 해당 사업 주사업자 SK(주) C&C, 빔 소프트웨어, SW 공급사 메타넷그룹, 국민은행 사이 공방이 오가고 있었다.

빔 소프트웨어와 메타넷그룹이 2020년 12월까지 리눅스 운영체제 백업 기능 중 아이디, 패스워드 자동백업을 개선, 제공하겠다는 공문을 접수한 후 국민은행은 20202년 9~10월 사이 검수를 완료한 것으로 알려졌다. 

이를 근거로, 국민은행은 지금까지 빔 소프트웨어 제품을 사용해 왔으나, 2022년 11월 현재까지 기능 개선이 이뤄지지 않아, 인력이 투입돼 백업 업무를 수행해 왔다는 것이다.

리눅스 운영체제 자동백업이 제공되지 않을 경우, 백업&복구 측면에서 빠른 복구가 힘들어지게 된다.

급기야 국민은행은 빔 소프트웨어 제품을 다른 회사 백업 제품으로 교체를 전제로 2023년 예산 반영을 추진 중이다. 

빔 소프트웨어측은 BI코리아 취재요청에 “빔소프트웨어의 고객 정책에 따라, 고객의 비즈니스 또는 고객의 IT 환경의 세부 사항에 대해 언급하거나 논의하지 않고 있습니다(As part of our commitment to customer privacy, Veeam does not comment or discuss the specifics of any customer’s business or their IT environment)”라는 짤막한 입장만 전달해 왔다. 

◆국민은행-빔소프트웨어-메타넷 사이 법적 분쟁 가능성도 = 이번 논란은, 겉으로는 소프트웨어만 교체하면 간단할 것처럼 보이지만, 당시 국민은행이 문제의 핵심을 알고도 그대로 계약 및 검수를 강행했다는 점에서 복합적으로 전개될 가능성도 높다. 

우선, 국민은행-빔 소프트웨어-납품사 메타넷 등 3자간 계약불이행 관련 법적인 분쟁 가능성이 높다는 점이다. 

국민은행은 예산을 들여, 빔 소프트웨어 제품을 도입했고 계약이 이행되지 않았으며, 2023년 추가로 예산이 들어간다는 점에서 그동안 도입비, 2년여 기간의 손실에 대한 손해배상 청구 가능성이 높다.

여기서 더 나아가 국민은행 내부 배임 논란까지 이어지고 있다.

국민은행은 2020년 2월 빔 소프트웨어 제품 설치 후 3월경 이 문제를 인지한 것으로 확인됐다. 

이후 국민은행은 리눅스 운영체제 백업 SW를 교체하면 그만인데 굳이 빔 소프트웨어와 납품사 메타넷그룹의 공문을 기다려 준 점, 이 때문에 교체할 시기를 놓친 점 등 석연치 않은 대목이 적지 않다. 

국민은행 한 고위관계자는 “더 케이 프로젝트가 끝난 지 2년이 지났는데, 아직까지 계약이 이행되지 않았다는 점은, 은행이 빔 소프트웨어 그리고 메타넷 측에 특혜를 준 것이라는 의혹이 강하게 남는다”라며 “내부 감사가 필요한 대목”이라고 강하게 질책했다. 

정리하면, 국민은행이 빔 소프트웨어 및 메타넷 그룹에 손해배상을 청구하지 않을 경우 당시 도입담당자 및 시스템 운영 담당자 그리고 더 케이 프로젝트 책임자의 배임혐의 징계가 불가피하다는 것이다. 

반대로, 국민은행 내부에서 당시 책임자를 구제하기 위해서는, 빔 소프트웨어 및 납품회사 메타넷에 대한 손해배상 청구를 해야 면책이 되는 구조다. 

금융IT 업계 한 관계자는 “국민은행이 빔소프트웨어 및 메타넷 그룹의 공문을 갖고 있기 때문에. 계약불이행에 따른 내규를 적용, 절차대로 처리하면 될 일”이라고 조언했다. 

알면서도 묵인했거나, 책임을 회피하기 위해 업체들에게 전가한 결과가 은행 직원들에게 부메랑으로 돌아오고 있다. 

<김동기 기자>kdk@bikorea.net