망분리해도 뚫린 금융권⋯“보안체계 전환ㆍ이사회 책임 강화해야” [현장]

잇따른 해킹 사고⋯”금융권 외부 연계 시스템 해킹 취약”
AI 탐지·상시 검증 강화 주문⋯은행권 실질 투자도 강조
당국, 보안 역량 갖춘 금융사 연내 망분리 전면 해제 추진

4일 서울 중구 은행회관에서 ‘디지털전환에 따른 금융소비자 보호 및 금융보안 과제’ 세미나에서 패널토론이 진행되고 있다.(사진=연희진 기자 toyo@)

최근 금융권에서 해킹과 고객정보 유출 사고가 잇따르면서 기존 망분리 중심의 보안체계를 재정비해야 한다는 지적이 나왔다. 외부 연계 시스템을 통한 침해가 반복되는 만큼 AI 기반 탐지·대응을 강화하고 보안을 이사회 차원의 경영 과제로 다뤄야 한다는 것이다. 금융당국은 연내 보안 역량을 갖춘 금융회사를 대상으로 망분리 전면 해제 방안을 추진할 계획이다.

한국금융연구원은 4일 서울 중구 은행회관에서 ‘디지털전환에 따른 금융소비자 보호 및 금융보안 과제’ 세미나를 개최했다.

이항용 한국금융연구원장은 개회사에서 금융권의 잇따른 고객정보 유출과 AI를 활용한 사이버 공격 고도화를 우려했다. 이 원장은 “금융의 디지털 전환과 AI의 활용은 이제 거스를 수 없는 흐름”이라며 금융소비자 보호와 보안을 지속 가능한 금융혁신의 토대로 삼아야 한다고 강조했다.

서병호 한국금융연구원 해외금융협력지원센터장은 주제발표에서 최근 침해사고의 공격 대상이 내부망보다 외부와 연결된 고객정보 조회 시스템과 모바일 업무 시스템 등에 집중됐다고 분석했다. 공격자가 응용프로그램 인터페이스(API)를 통해 정상 이용자처럼 접근해 침해 사실을 탐지하기 어려웠던 사례도 제시했다.

서 센터장은 망분리 체계가 유지되는 상황에서도 침해사고가 발생한 만큼 외부에 노출된 IT 자산을 정확히 파악하고 접근 권한을 철저히 관리해야 한다고 강조했다. 특히 AI를 활용한 사이버 공격이 고도화되는 데 대응해 이용자의 접근 권한을 지속적으로 검증하는 ‘제로트러스트’ 체계와 AI 기반 탐지·대응 역량을 강화해야 한다고 제언했다. 사고 발생 이후에도 핵심 금융서비스를 유지하고 신속히 복구할 수 있는 ‘운영복원력’ 확보도 주문했다.

위협정보가 사전에 공유돼도 예방조치로 이어지지 못하는 문제도 지적했다. 또 망분리 완화와 자율보안 확대가 진행되는 반면 사고에 따른 결과책임 강화 입법은 진행 중이라며 위험 수준에 맞춘 보안수단과 실질적 대응 역량을 평가하는 감독체계가 필요하다고 했다.

아울러 금융당국이 망분리 규제를 단계적으로 완화하고 자율보안을 확대하고 있지만 사고 발생에 따른 결과책임을 강화하기 위한 법 개정은 아직 진행 중이라는 점도 짚었다. 특정 보안기술을 일률적으로 의무화하기보다 위험 수준에 맞는 보안수단을 선택하도록 하되 실제 대응 능력을 평가하는 감독체계로 전환해야 한다고 제언했다.

금융당국은 망분리 규제 완화와 보안 강화를 병행하겠다는 입장을 보였다. 배인정 금융위원회 디지털금융총괄과 서기관은 패널토론에서 “AI 활용과 보안 역량을 갖춘 금융회사를 대상으로 규제 샌드박스 등을 활용해 연내 망분리 전면 해제 방안을 추진할 계획”이라며 “보안 역량 강화도 함께 추진할 예정”이라고 설명했다.

4일 서울 중구 은행회관에서 ‘디지털전환에 따른 금융소비자 보호 및 금융보안 과제’ 세미나에서 이항용 한국금융연구원장이 개회사를 하고 있다.(사진=연희진 기자 toyo@)

금융보안을 이사회가 직접 책임지는 핵심 경영 의제로 격상해야 한다는 제안도 나왔다. 이준호 금융보안원 팀장은 “금융보안을 단순히 이사회에 보고하는 사항이 아니라 이사회에서 직접 심의 의결하는 경영의 핵심 의제로 발전시키는 방안을 검토할 필요가 있다”고 말했다.

이 팀장은 보안 관련 경영 목표와 성과평가, 위험 허용 수준, 중대 보안사고 발생 시 이용자 피해 구제 등을 이사회가 직접 논의할 필요가 있다고 설명했다. 금융보안 규제 범위도 금융회사뿐 아니라 디지털 금융서비스와 연결된 외부 사업자까지 확대하는 방안을 제안했다.

은행권에서도 보안투자 확대와 함께 실질적인 집행력을 높여야 한다는 목소리가 나왔다. 오지영 우리은행 금융소비자보호그룹 상무는 “보여주기 식의 예산 편성을 넘어 현장에서 확보한 예산이 실질적으로 집행될 수 있도록 집행력을 확보하는 것이 시급하다”고 말했다.

그러면서 침해사고 발생 결과만을 기준으로 일률적인 과징금을 부과하기보다는 금융회사의 사전 위험관리 수준과 사고 이후 피해 최소화 노력 등을 종합적으로 고려하는 책임체계가 필요하다고 강조했다.

금융당국은 금융사기 예방에서도 경영진의 적극적인 역할을 주문했다. 이정만 금융감독원 금융사기대응국장은 보이스피싱 등 금융범죄 대응과 관련해 “단순히 실무자뿐만 아니라 각 금융회사 CEO들의 관심이 절대적으로 필요하다”고 강조했다. 이어 인력과 예산이 충분히 뒷받침돼야 금융사기를 효과적으로 막을 수 있다며 금융회사가 범죄 예방에 보다 적극적으로 나서야 한다고 당부했다.