[단독]망분리 완화 금융사 10곳, 보안계획만 세우고 이행 안해···내부망 해킹 노출될 뻔

신한은행 등 10곳에 망분리 완화 특례
대체 통제수단 계획만 세우고 미이행
보안관리자 시스템 외부에 방치하기도
금보원 “점검 과정서 미흡사항 모두 조치”

연합뉴스

인공지능(AI)을 이용한 해킹을 방어하기 위해 외부 인터넷망과 내부 업무망을 연결할 수 있도록 특례를 받은 금융회사 10곳이 지난 7~9월 필수 보안 계획을 세우기만 하고 실제로 이행하지 않은 것으로 드러났다. 외부 서비스 장애 대응 절차나 보안을 위한 상시 관리체계 등을 마련하지 않아 금융보안원의 점검이 없었더라면 내부망이 해킹에 노출될 뻔했다. 이들은 금보원 지적을 받고서야 보안조치를 취했다.

국회 정무위원회 소속 한창민 사회민주당 의원이 12일 금융보안원에서 받은 자료를 보면, 금보원이 보안 목적으로 망분리 규제가 완화된 10개 금융사(신한·하나·우리은행·카뱅, KB·NH투자·미래에셋증권, 삼성화재·한화생명, 현대카드)를 대상으로 이들 회사가 ‘망분리 대체 통제(내-외부망 연결시 지켜야 하는 보안 조치)’를 적정하게 이행하는지 점검한 결과, 공통으로 망분리 대체 통제수단 다수가 계획 단계에 머물렀던 것으로 확인됐다.

앞서 금융위원회는 지난 6월19일 이들 10개 회사에 ‘1차 망분리 규제 긴급 완화 조치’를 내렸다. 금융사는 내부 업무용 시스템과 전산실 내 정보처리 시스템을 인터넷 등 외부통신망과 분리해야 하지만, 외부통신망에서 제공되는 AI나 보안 SaaS(서비스형 소프트웨어)를 내부 시스템의 취약점 점검에 활용하기 위해 1년 한시적으로 규제를 완화하는 내용이 골자다.

망분리 규제가 완화되는 만큼 금융사는 보안사고 위험을 줄이기 위한 망분리 대체 통제수단을 마련·이행해야 한다. 금융당국은 통제수단으로 ‘AI·SaaS서비스 관련 보안사고 및 장애 대응절차 수립’ ‘AI·SaaS 내 데이터의 불필요한 공유·처리 방지’ 등 12개를 주문했다.

하지만 망분리 특례를 받은 금융사 10곳은 대체 통제수단 다수를 ‘계획’만 하고 실행하지 않았던 것으로 드러났다.

통제수단이 자사 환경에 맞게 잘 작동하는지 여부를 검증하지 않은 점도 공통 미흡사항으로 지적됐다. 특히 일부 금융사는 보안 관리자 시스템(관리 콘솔)에 인터넷이 가능한 외부에서 자유롭게 드나들 수 있게 방치하고 있었다. 보안 인증을 보유하지 않은 클라우드를 사용한 회사도 있었다.

금보원은 지난 7월 중순에서 9월 초까지 금융사 10곳을 순차적으로 점검하고 이후 미흡 사항을 모두 조치했으며, 조치를 완료한 이후 망을 분리(내부망과 외부망을 연결)했다고 밝혔다. 금보원 점검 전 망분리가 이뤄졌다면 내부망의 직접적인 공격을 받을 수 있었던 셈이다. 최근 금융권을 휩쓴 해킹 사고는 외부 취약점에서 발생했다.

염흥열 순천향대 정보보호학과 교수는 “(외부 AI·SaaS) 서비스를 받기 위해선 내부망을 열어야 하기 때문에 금보원의 미흡 조치가 완료된 시점까지 보안 통제가 완벽하게 작동하지 않았다고 볼 소지가 있다”며 “보안관리자 시스템에 외부 접근을 통제하지 않은 점은 매우 심각한 부분”이라고 말했다.

금보원은 미흡 통제수단 항목이나 금융사 등은 공격자의 다음 대상이 될 수 있다는 등의 이유로 밝히지 않았다. 금보원의 이번 점검 결과는 금융위에도 보고했다. 금융위는 2차 망분리 규제 완화 대상 금융사 15곳을 지난 7일 선정할 예정이었으나 연기했다.

한 의원은 “AI를 이용한 해킹이 본격화하기 전부터 금융회사들은 비용 절감 등을 이유로 지속적으로 망분리 규제 완화를 요구해 왔다”며 “AI 해킹에 대응하겠다며 망분리 규제 완화 특례를 받고도 정작 보안 강화는 등한시하고 있는 것은 아닌지 점검해야 한다”고 말했다.

서대웅 기자 sdw618@kyunghyang.com