3.20 사이버테러 이후 금융권 뭐하고 있나?

‘금융전산 보안 TF’ 개최, 오는 6월 ‘보안강화 종합대책’ 내놓기로

[보안뉴스 김경애] 3.20 사이버테러 이후 피해를 입은 농협과 신한은행등 금융기관은 이번 사태를 어떻게 수습하고 있을까? 이와 관련해 금융감독원은 농협과 신한은행의 전산장애 사고에 대해서는 특별검사를 실시해 사고원인, 위반사항, 내부통제시스템의 적정여부 등을 점검중에 있다고 밝혔다.

특히, 이번 3.20 사이버테러 사건을 계기로 금융위와 금감원은 합동으로 全 금융권 보안실태 점검(2013년 4~5월)에 나서고 있다며, ‘금융IT 보호업무 모범규준’에서 권고하고 있는 인력 및 예산기준 준수여부 등을 병행 점검하고 있다고 전했다.

그런 가운데 금융위는 금융전산 보안강화를 위해 지난 30일 ‘금융전산 보안 TF’ 1차 회의를 개최했다고 밝혔다. ‘금융전산 보안 TF’는 3.20 사이버테러를 계기로 금융권 IT 보안 전반에 대해 종합적인 개선대책을 마련하기 위해 출범했으며, 금융위 주관하에 금융감독원, 금융결제원, 코스콤, 금융보안연구원 등 유관기관과 학계, 업계 등 IT 전문가들이 참석한 것으로 알려졌다.

이번 1차 TF 참석자들은 금융회사 전산망 보안 강화를 위해 원칙적으로 금융회사 내부 업무망과 인터넷망을 분리하여 운영할 필요성에 대해 공감하고, 구체적인 운영방안에 대해서는 지속적으로 검토하기로 논의했다. 정보보호최고책임자(CISO) 제도 등 여타 세부적인 사항에 대해서도 관계자 실무 검토회의 및 TF회의를 통해 심층 논의하기로 했다고 덧붙였다.

이에 따라 금융당국은 TF 참가자들에게 이번 전산사고를 계기로 금융IT 보안이 한층 강화될 수 있도록 보안실태의 점검결과와 현행 제도의 미비점을 감안하여, 오는 6월중에 ‘금융전산 보안 강화 종합대책’이 마련될 수 있도록 협조를 요청했다고 밝혔다.

금융전산의 보안 강화를 위한 주요 추진방향의 내용을 살펴보면 다음과 같다. 첫째, 금융회사 내부 업무망에 대한 인터넷 차단 등 금융IT 인프라 보안 강화 추진이다. 이와 관련해 금융위는 일부 금융회사들이 자율적으로 업무망과 인터넷망을 분리해 운영중이라고 밝혔다.

둘째, 정보보호최고책임자(CISO) 제도 등 금융IT 보안인력·조직의 역량 강화다. 정보보호최고책임자 제도는 5월부터 시행된 것으로 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄 책임질 정보보호최고책임자(CISO)를 지정해야 한다.

셋째, 사고보고, 사고원인분석, 정보공유 등 금융회사의 위기대응 체계의 개선이다. 금융회사는 사고보고 시스템을 개선하고, 사고 원인분석을 위한 인력을 강화할 방침이다.

넷째, 금융회사의 IT 실태 평가 등 금융 IT 검사·감독의 내실화다. 금융위에 따르면 이와 관련해 현재 정보기술부문 평가에 IT 보안실태를 확대 반영하고 있다고 밝혔다.

다섯째, 외주 인력에 대한 관리감독 강화 등을 포함한 금융회사 IT 분야 내부통제 강화다.

그러나 이러한 대책과 관련해 일각에서는 이미 다 시행되고 있어야 하는 사항으로 제대로 실천이 안되는 부분에 대해 엄중한 책임을 물어야 한다는 목소리도 나오고 있다.

이와 관련 한 보안전문가는 “내부 업무망과 인터넷 업무망을 분리하는 건 금융기관에서의 보안조치로 기본 중에 기본”이라며, “이미 지난 2009년 디도스 대란 때부터 수차례 언급된 내용인 만큼 모든 금융기관에 의무 적용해야 한다”고 설명했다.

또 다른 보안전문가도 “악성코드 유포경로로 이용된 ActiveX에 대한 조치들도 논의 돼야 한다”며 “금융기관 자체적으로 TF팀을 구성하기보단 보안전문가와 정보통신 관계자 등 민·관의 다양한 의견을 수렴해야 한다”고 지적했다.

한편, 금융당국은 금융회사 취약점 분석·평가, 보안컨설팅을 수행하고 있는 보안업계의 의견도 대책마련에 충분히 반영할 계획이다.

향후 계획에 대해 금융당국은 이번 TF는 매월 개최하되, 필요시 수시회의를 소집하기로 했으며, TF에서 논의된 개선안을 반영해 오는 6월 중에 ‘금융전산 보안 강화 종합대책’을 발표할 계획이라고 밝혔다.

또한, TF와는 별개로 금융업권별 IT보안담당자·IT전문가와의 실무회의를 수시로 개최해 다양한 의견을 수렴하고, 이를 종합대책에 반영해 나갈 것이라고 덧붙였다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)