보안, 장비보다는 이를 운영, 관리하는 사람이 중요

보안의 벽을 높게 쌓아서 이용자들에게 불편을 주는 것은 보안이 아니다

우리나라 전자 금융 발전을 위해 30년 넘게 몸 담아온 김인석 금융감독원 부국장은 한국은행을 거쳐 현 금융감독원에서 금융회사 IT업무에 대한 검사와 조사연구를 담당하고 있는 전자금융 분야 발전의 주역이자 전문가다. 김 부국장은 그 동안의 금융IT와 보안업무의 실무 경험을 후배들에게 전달하기 위해 ‘전자금융 이러면 안전할까?’라는 책을 공동 출간하기도 했다. 본지는 30년 넘게 금융IT와 보안업무를 해 온 경험을 토대로 우리나라의 금융IT와 보안에 대한 발전 방향과 그의 생각을 들어봤다.

우리나라 금융IT와 금융보안 발전을 위해 30년 넘게 업무를 하고 있는데.

지난 1980년 한국은행에 입행해서 지금까지 IT관련 업무만을 수행해 왔다. 지난 1980년부터 1996년까지는 한국은행에서 온라인 업무 개발과 시스템 운영을 담당했으며 1996년부터 현재까지는 은행감독원, 금융감독원에서 금융 IT업무에 대한 감독과 검사 업무를 수행하고 있다.

한국은행 근무당시에는 국제금융업무분야에서 최초 온라인시스템 개발에 참여하기도 했고 그 이후에는 시스템 운영관리업무를 주로 하면서 한국은행의 주요 개발 업무를 했다. 그리고 1998년 금융감독원 설립 추진시부터 현재까지 금융감독원에서 금융회사 IT업무에 대한 검사와 조사연구를 담당하고 있으며 후학 양성을 위해 대학에서 강의도 하고 있다.

국내 금융보안을 강화하기 위해서 제도나 정책적으로 우선 필요한 것은.

우선 제도나 정책보다는 자율적인 대책을 수립하고 운용하는 것이 필요하다. 그러나 현실에서는 자율적인 것이 제대로 되지 않다 보니 법이나 규정에 의해 강제화되는 경향이 있다. 이러한 강제화는 금융회사의 자율성을 약화시킬 수 있고 규제로 작용할 수는 있지만 법안 강화에는 효과적이라고 본다. 따라서 자율과 의무가 적절히 조화될 수 있도록 운용하는 것이 필요하다.

금융권에서도 사용자만큼 보안에 많은 관심을 갖고 적절한 대처를 해야 한다. 금융권에서 필수적으로 취해야 할 조치는.

금융 이용자들은 자체 PC나 스마트폰 등에 대한 바이러스 검색 등 자체적인 보호를 수행하고 있으나 다양하고 교묘해지는 해킹에 대응하기에는 한계가 있다. 따라서 금융회사들은 자사의 시스템을 이용하는 고객들을 보호하기 위해 다양한 수단을 제공해야 한다. 우선 내부적으로 보관하고 있는 고객정보를 보호하는 것은 기본이라고 본다. 그리고 이에 필요한 인력 및 예산 확보는 필수이며 정보보호 수준을 정기적으로 점검하고 발견된 취약점은 장·단기적인 계획을 수립해서 보완해 나가는 정보보호 관리체계를 수립하는 것이 필요하다.

현재 국내 금융보안의 상황과 개선이 시급한 문제점은.

최근에는 이용자 개별적인 공격보다는 많은 정보를 한 번에 획득할 수 있는 방법을 많이 사용하고 있으며 금융회사의 서버를 공격하는 사고도 많이 발생됨에 따라 이에 대한 대비가 필요하다. 또한 카드 복제사고에 대하여 IC 카드 전환을 조속히 완료할 필요가 있다고 생각한다. 하지만 선제적으로 막을 수 없는 부분도 있기 때문에 예상할 수 없는 사고가 발생하면 정부나 금융감독원이 빨리 분석해서 적절한 대응방안을 제시해야 한다. 하지만 강화된 보안은 사용자의 기피로 효율성이 떨어지게 마련이다. 사고가 발생했다고 해서 이용자들에게 불편함을 주는 제도를 급하게 만들어 적용하는 것은 바람직하지 않다고 본다. 언론이나 여론을 따라가다 보면 역효과가 날 수 있기 때문에 이러한 제도를 도입할 때에는 신중하게 검토해야 할 필요가 있다.

국내 금융보안 강화를 위해 금융감독원에서 어떤 대책을 마련하고 있으며 향후 추진 계획은.

우리나라의 인터넷 뱅킹 등에 대한 보안은 상당한 수준이라고 본다. 앞으로는 스마트폰과 카드 복제 등의 사고에 대비한 정책을 마련하고 있으며 공인인증서 활용 등에 대한 정책도 마련 중이다. 특히 전자금융 소비자 보호 및 전자금융거래의 안전성 확보를 위해 여러 가지 방안을 모색하고 있다.

금융회사는 DDoS 공격과 같은 사이버테러에 대한 대응능력 강화를 위해 사이버테러 대응시스템 도입, 사이버테러 모의훈련 실시, 24시간 보안관제체계 구축 등을 통한 사이버테러 대응능력을 지속적으로 강화하도록 지도하고 있다. 또 스마트폰, VoIP 등 신기술을 이용한 전자금융거래에 대한 정보보호 가이드라인을 마련하고 금융회사 IT부문에 대한 감독, 검사를 강화하고 있다.

일선 금융기관의 보안담당자들이 보안을 위해서 해야 할 것은.

우선 보안 전문 인력의 양성이 절실하다. 대부분 사고가 터지면 많은 관심을 갖다가 시간이 지나면 점점 잊혀지는 것이 현실이다. 현재 시스템과 수단은 많이 개발되어 있으나 정작 이를 운용하고 진화시킬 전문 인력은 많이 부족하다. 특히 금융보안업무는 금융업무를 알아야 하기 때문에 보안과 금융업무 모두를 다 아는 전문가가 필요하다. 이처럼 금융분야 보안 담당자들은 어려운 상황에서 일을 하고 있다. 하지만 누군가가 해야 할 일이라면 책임감을 갖고 적극적으로 해야 한다. 즉 전문가로서 자부심을 갖고 업무를 해야 하고 외부에서는 이러한 점을 제대로 평가해줘야 한다.

인터넷 뱅킹관련 사고가 빈번하게 발생하고 있는데 국내 사이버 금융 보안의 현황과 문제점은 무엇인가.

스마트폰, IPTV 등 PC 외 새로운 통신매체가 증가함에 따라 인터넷뱅킹 등 전자금융서비스에 대한 보안 위협사례가 증가하고 있으며 이에 금융회사는 금융정보 유출방지대책을 마련하고 거래에 대한 모니터링 강화 등 사고예방에 힘쓰고 있다. 또한 최근에는 인터넷뱅킹 이용고객이 계좌번호 비밀번호 등을 이메일이나 PC에 보관하고 있다가 해커에게 유출되어 인터넷뱅킹 불법이체 사고가 발생하고 있어 고객의 주의가 요구되고 있다. 하지만 이용의 불편함을 이유로 금융회사들이 제공하는 대응 수단을 제대로 활용하지 않는 것은 가장 큰 문제점이다. 특히 사용자들의 부주의로 금융보안 사고가 자주 발생하는데 이에 대한 대책은 공인인증서와 보안카드 등의 접근매체에 대한 관리가 중요하고 사용자들에 대한 대책은 교육 이외에 특별한 것이 없다는 점이다.

사용자들은 안전한 금융거래를 위해서 주의해야 할 것은 무엇인가.

그동안 금융감독원 등은 다양한 전자거래 주의사항들을 발표했는데 무엇보다 개인정보 관리가 가장 중요하다. 특히 공인인증서, 보안카드, 비밀번호 등은 이메일, 웹하드 등 인터넷에 보관하지 말고 보관한 경우 즉시 삭제하고 금융회사를 방문하여 교체해야 한다. 또 공인인증서는 PC보다 USB, 보안토큰 등 이동식저장매체에 보관해야 하며 보안카드는 복사 또는 스캔하지 말고 오래된 보안카드는 재발급 받아야 한다. 그리고 금융거래 ID, 비밀번호는 인터넷 포털 및 쇼핑몰 등의 ID, 비밀번호와 다르게 설정하고 절대로 타인에게 알려주지 말아야 하며 가장 안전하게 인터넷 금융거래를 이용하려면 OTP 발생기, 보안토큰, 전화인증서비스를 사용해야 한다.

최근 중국의 인터넷 뱅킹 범죄를 모방한 범죄가 발생했는데 공인인증서와 보안카드의 관리 문제가 대두되고 있는데.

공인인증서를 HSM 등에 안전하게 보관하는 것이 효과적이겠으나 사용자들이 선호하지 않고 OTP를 사용하는 것도 비용 문제로 제한적이다. 따라서 금융회사들은 사전에 사고를 감지하고 사고 발생시 신속하게 대응할 수 있는 시스템의 구축도 한 방안이 될 것이다.

안전한 스마트폰 전자금융을 위한 방안은 무엇인가.

스마트 폰이나 인터넷 뱅킹은 거래 수단의 차이가 있을 뿐 위험도는 유사하다. 어떻게 보면 스마트폰의 경우 프로세스의 한계로 다양한 방어수단을 탑재할 수 없어 위험이 더 크다고 볼 수 있다. 따라서 민감한 금융정보는 칩에 저장하는 방안을 적극 개발해야 할 것이다.

‘전자금융 이러면 안전할까?’라는 전저금융 안전에 관한 책도 출간했는데.

그 동안의 경험을 보안업무를 수행하는 동지들과 후배들에게 전달하고 책의 내용을 기본으로 새로운 대응 방안을 연구할 수 있는 동기를 부여하기 위해 출간했다. 그동안 보안 업무를 하다 보니까 각 분야별로 자료들은 많이 있는데 이를 금융IT에서 실무적으로 활용할 수 있는 방안이 없어서 이를 책으로 엮으면 좋겠다는 생각을 했다.

또 현재 금융감독원 검사 업무를 하면서 내가 가지고 있는 경험과 그동안의 자료들을 실무 종사자들이 알아두면 좋을 것 같았다. 특히 이 책은 현업에 실무적인 부분에서 적용할 수 있고 이를 통해 금융사고를 미리 예방할 수 있도록 하기 위한 지침서 역할을 할 수 있을 것이다.

다른 나라와 비교해서 우리나라 금융보안의 수준은 어떠한가.

우리의 금융보안은 전체적으로 매우 높은 수준이라고 판단하고 있다. 일부 사람들은 특정 기술을 사용하여 산업 발전을 저해하고 있다고 주장하는데 보안은 이용의 제약이 불가피 하기 때문에 일부 제약도 발생할 수 있다고 본다. 외국의 경우 보안상의 문제로 한국과 같은 전자금융거래 이용도가 높지 않은 것을 주목할 필요가 있다.

금융보안 수준을 보안을 높여 놓은 스웨덴하고 우리나라는 온라인 거래규모가 많다. 특히 우리는 안전성이 높기 때문에 그만큼 이용비중이 높은 것이다. 이에 따라 관련 시스템이나 금융상품이 다양하게 개발되었고 관련 사고도 발생하고 있지만 사용자와 거래규모에 따른 사고 발생율은 낮은 편이다. 반면 미국이나 일본은 안전성면에서 불안하기 때문에 사용자가 적은 것이다.

개인적으로 정보보호가 무엇이라고 생각하는가.

현재의 기술로도 정보보호는 100% 확실하게 대응할 수 있다고 생각한다. 다만 보안이 업무보다 우선해서는 안된다고 보기 때문에 일부 허점이 나타날 수 밖에 없다. 너무 높은 보안의 벽으로 고객이 사라진다면 과연 적절한 대응을 한 것인지 다시 한번 생각해 봐야 한다.

우리나라 정보보호 발전을 위해 필요한 것은.

보안에 대한 정책이 일관성 있게 수립되고 추진돼야 한다. 공인인증서를 보더라도 본인인증, 부인방지 기능을 우선으로 도입했으면 모든 전자거래에 적용하도록 해야 하는데 이런 저런 이유로 제외 한다면 전체적으로 사라질 수 있기 때문에 신중하게 정책을 수립하고 수립된 정책은 일관성 있게 집행해야 혼란이 없을 것이다.

앞으로 우리나라의 금융거래가 세계적으로 가장 안전하다는 평가를 받는 것을 목표로 이러한 것들을 실현할 수 있도록 후배 양성, 전문가 교육 등에 많은 노력을 기울일 것이며 다양한 보안위협 대응방안 연구도 함께 해 나갈 것이다. 특히 금융보안은 돈과 관련되어 있어 보안 사고는 치명적인 문제를 발생시킬 수 있기 때문에 보안투자를 적극적으로 하고 전문 인력양성에도 많은 노력이 필요하다. 그리고 돈으로 보안장비의 도입은 많이 하고 있지만 이보다는 이러한 장비들을 운용하고 관리하는 사람이 더 중요하고 이러한 사람들을 얼마나 잘 양성했느냐가 중요하다.

<글/사진 : 김태형 기자(is21@boannews.com)>

[월간 정보보호21c 통권 제118호(info@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)