금융보안원, ‘SW공급망보안 자율점검 체크리스트’ 개발

오는 28일 ‘금융권 SW공급망보안 강화 전략’ 세미나 개최

[보안뉴스 김경애 기자] 금융보안원(원장 김철웅)은 금융회사가 소프트웨어를 사용하는 단계에서 보안을 강화할 수 있도록 ‘SW공급망 자율점검 체크리스트’를 마련했다고 14일 밝혔다.

금융보안원은 올해 4월부터 금융권 SW공급망 보안 실무협의체를 구성하고, 제3자 소프트웨어에 대한 위험관리 강화와 보안위협 사전 식별 및 대응을 목적으로 참여 주체별(사용사·개발사) 체크리스트를 개발해왔다. 실무협의체는 은행·증권·보험·카드 등 주요 20개 금융회사 보안 담당자가 참여하고 있다.

번 체크리스트는 금융회사에서 활용할 수 있는 사용사用으로 총 30개 세부항목으로 구성되어 있다. 개발사용 체크리스트는 내년 중 마련될 예정이다.

금융보안원은 오는 28일 ‘금융권 SW공급망보안 강화 전략’ 세미나를 개최해 은행·증권·보험·카드 등 200여개 금융회사를 대상으로 체크리스트를 설명한다. 또한, SW공급망에 대한 실제 침해사고 사례와 대응방안, 금융회사의 선진 SW공급망 보안 사례를 공유하고, 2025년부터 운영 예정인 자동화 침해대응 훈련 플랫폼을 소개한다.

플랫폼은 훈련대상 및 공격유형을 금융사가 자율적으로 선정해 다양한 훈련을 실시할 수 있기 때문에, 금융권 침해대응 훈련이 더욱 활성화될 것으로 기대된다.

금융보안원 김철웅 원장은 “최근 SW공급망 공격이 증가함에 따라, 금융권은 위협을 적시에 대응하고 예방할 수 있도록 준비해야 한다”며, “이번 체크리스트는 금융권 SW공급망보안을 위한 첫걸음이며, 앞으로도 금융보안원은 제3자 리스크 완화 및 SW공급망보안 강화를 위해 노력하겠다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다