금융감독원, 카카오 데이터센터 화재 계기로 금융권 본인인증 접속장애 유사 문제 점검
일부 금융회사, 휴대폰 본인인증 외부 특정 업체에 의존...별도 대체 접속수단 없어
핵심업무에 영향주는 외부 시스템 정확히 파악, 이중화 등 비상대응 체계 마련해야
[보안뉴스 김경애 기자] 2022년 카카오 데이터센터 화재 당시 로그인 인증수단으로 이용하던 카카오페이와 가상자산거래소가 접속장애를 일으킨 바 있다. 그 이후로도 금융권에서는 크고작은 접속장애가 발생한 바 있다. 이에 따라 금융회사의 휴대폰 본인인증에 대한 보안문제에도 관심이 모아지고 있다.
이와 관련 금융감독원은 2022년 10월 카카오 데이터센터 화재 당시 카카오톡을 유일한 로그인 인증수단으로 이용하던 카카오페이 및 가상자산거래소 등의 접속장애가 발생했던 사고를 계기로 전체 금융회사를 대상으로 유사한 문제점이 있는지에 대해 점검했다고 밝혔다.
점검 결과, 일부 금융회사에서 휴대폰 본인인증을 외부 특정 업체에 의존하면서 별도의 대체 접속수단을 마련하지 않고 있는 것으로 드러났다. 외부 업체와의 전산망 연결에 있어서도 보안수준이 높은 전용선 또는 VPN(가상전용회선)을 사용하지 않고 일반 통신망을 이용하는 경우가 있는 것으로 확인된 것.
이와 관련하여, 금융감독원은 지난 18일 전자금융업무를 수행하는 은행 32개, 금융투자 67개, 보험 41개, 저축은행 80개, 여전․상호․신용정보 49개 총269개 금융회사 전체를 대상으로 IT상시협의체 회의를 개최해 파악된 문제점에 대한 개선을 지도했다고 밝혔다.
첫째, 금융회사 핵심업무에 영향을 주는 외부 시스템에 대해 정확히 파악하고, 단일장애지점(Single Point Of Failure)으로 식별된 외부 시스템은 서비스업체 이중화를 통해 대체수단을 마련하는 등 비상상황 발생시 신속히 대응할 수 있는 체계를 마련해야 한다.
둘째, 대체수단이 없는 외부 시스템의 경우 서비스 제공 업체의 비상대책 및 품질수준에 대한 테스트를 정기적으로 실시하고 그 결과를 평가하는 등 관리방안을 마련해야 한다.
셋째, 본인인증과 같이 전자금융거래에 직접 연계되는 서비스를 제공하는 업체는 전자금융보조업자에 상응하는 보안체계(전용회선 또는 동등한 보안수준을 갖춘 가상의 전용회선(VPN) 사용)를 갖춰야 한다.
이와 관련 금감원은 “앞으로도 금융감독원은 전자금융서비스 신뢰 확보 및 금융소비자 피해 예방을 위한 역할을 충실히 수행해 나갈 예정”이라고 밝혔다.
[김경애 기자(boan3@boannews.com)]
일부 금융회사, 휴대폰 본인인증 외부 특정 업체에 의존...별도 대체 접속수단 없어
핵심업무에 영향주는 외부 시스템 정확히 파악, 이중화 등 비상대응 체계 마련해야
[보안뉴스 김경애 기자] 2022년 카카오 데이터센터 화재 당시 로그인 인증수단으로 이용하던 카카오페이와 가상자산거래소가 접속장애를 일으킨 바 있다. 그 이후로도 금융권에서는 크고작은 접속장애가 발생한 바 있다. 이에 따라 금융회사의 휴대폰 본인인증에 대한 보안문제에도 관심이 모아지고 있다.
[이미지=금융감독원 홈페이지]
이와 관련 금융감독원은 2022년 10월 카카오 데이터센터 화재 당시 카카오톡을 유일한 로그인 인증수단으로 이용하던 카카오페이 및 가상자산거래소 등의 접속장애가 발생했던 사고를 계기로 전체 금융회사를 대상으로 유사한 문제점이 있는지에 대해 점검했다고 밝혔다.
점검 결과, 일부 금융회사에서 휴대폰 본인인증을 외부 특정 업체에 의존하면서 별도의 대체 접속수단을 마련하지 않고 있는 것으로 드러났다. 외부 업체와의 전산망 연결에 있어서도 보안수준이 높은 전용선 또는 VPN(가상전용회선)을 사용하지 않고 일반 통신망을 이용하는 경우가 있는 것으로 확인된 것.
이와 관련하여, 금융감독원은 지난 18일 전자금융업무를 수행하는 은행 32개, 금융투자 67개, 보험 41개, 저축은행 80개, 여전․상호․신용정보 49개 총269개 금융회사 전체를 대상으로 IT상시협의체 회의를 개최해 파악된 문제점에 대한 개선을 지도했다고 밝혔다.
첫째, 금융회사 핵심업무에 영향을 주는 외부 시스템에 대해 정확히 파악하고, 단일장애지점(Single Point Of Failure)으로 식별된 외부 시스템은 서비스업체 이중화를 통해 대체수단을 마련하는 등 비상상황 발생시 신속히 대응할 수 있는 체계를 마련해야 한다.
둘째, 대체수단이 없는 외부 시스템의 경우 서비스 제공 업체의 비상대책 및 품질수준에 대한 테스트를 정기적으로 실시하고 그 결과를 평가하는 등 관리방안을 마련해야 한다.
셋째, 본인인증과 같이 전자금융거래에 직접 연계되는 서비스를 제공하는 업체는 전자금융보조업자에 상응하는 보안체계(전용회선 또는 동등한 보안수준을 갖춘 가상의 전용회선(VPN) 사용)를 갖춰야 한다.
이와 관련 금감원은 “앞으로도 금융감독원은 전자금융서비스 신뢰 확보 및 금융소비자 피해 예방을 위한 역할을 충실히 수행해 나갈 예정”이라고 밝혔다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-10-05] 
