“금융보안, 선제적 대응체제로 전환해야”

[인터뷰] 김 종 현 KB국민은행 IT정보보안부장 상무(CISO)

“보안위협에 효과적 대응 및 피해 최소화 위한 다각적 노력 필요”

[보안뉴스 김태형] KB국민은행은 지난 7월 조직개편을 통해 기존 IT본부 소속의 IT정보보안부를 은행장 직속으로 재편, IT정보보안 총괄 및 CISO로 김종현 상무를 임명하고 금융전산보안 종합대책 등 보안 현안에 대한 직접 통제에 나섰다.

김종현 상무(CISO)는 국민은행의 IT정보보안부 및 CISO를 맡게 된 소감에 대해 “국내 금융권 최초의 CISO로 임명된 것을 영광으로 생각하며 리딩뱅크 KB의 위상에 맞는 CISO로서의 임무에 깊은 사명감을 느낀다”라고 밝혔다.

IT는 시스템 성능, 사용자 편의성이 중요한 반면, 보안에서는 시스템 속도가 느려지더라도 보안을 위한 기능을 추가해야 하고, 사용자가 불편해지더라도 보안 기능을 강화해야 한다. 이런 취지에서 감독당국은 CIO와 CISO를 분리하는 정책을 추진하고 있다.

그는 “IT시스템과 보안은 밀접하게 연계되어 있으므로, CIO와 CISO를 분리함에 따른 업무상 연계와 역할 정의가 선행되어야 한다. 이를 위해 은행권 최초의 CISO로서 CISO의 역할 정립에 대해 책임감을 느끼며, 동시에 아무도 가지 않은 길을 개척하는 데 대한 뿌듯함도 가지고 있다”라고 말했다.

그는 “이제까지 IT보안관리는 ‘보안 시스템’ 중심의 운영을 했으나 앞으로 점점 더 정교해지는 보안위협에 대응하기 위해서는 ‘선제적인 보안관리와 예방’이 중요한 시점이라고 생각한다”면서 “은행에서도 보안의 중요성을 인지하여 전행적인 관점에서의 보안업무 수행과 함께 보안위협에 효과적으로 대응하도록 요구하고 있다”고 말했다.

새로 재편된 국민은행 IT정보보안부는 3개팀, 총 25명으로 구성됐다. 정보보안기획팀은 보안기획 및 정책관리, 보안성 심의, 모의해킹·보안취약성 점검 등의 업무를 담당한다. 정보보안운영팀은 시스템 접근통제, 사용자 인증, 권한 및 계정관리, 개인정보보호, 패치 및 바이러스 관리 등의 업무를 수행한다.

그리고 정보분석대응팀은 침해사고 모니터링 및 분석·대응, 방화벽과 통합보안관리시스템과 같은 침해대응시스템 운영, 로그 상관 분석 및 통합보안 관제 등을 맡고 있다.

KB국민은행은 본부와 영업점 단말 사용자에 대한 사용자 통합권한관리 시스템과 개인정보보호를 위한 고객정보유출방지 시스템을 가동 중이며, 공개키 구조 기반의 PKI 인증 시스템을 운영하고 있다. 그 밖에 통합계정관리 시스템, 네트워크 접근제어 시스템 및 침입방지 시스템 등을 구축·운영하고 있다.

특히, 9월 26일부터 시행되는 전자금융 사기예방 서비스에 따라 금융권은 인터넷뱅킹 사용 시 보안카드를 사용한 인증 보다 더 안전한 2채널 인증(전화인증, ARS인증, 일회용비밀번호 생성기 사용, SMS인증, 이용PC 지정) 방식으로 전환을 유도하고 이를 위한 지속적인 대고객 홍보를 통한 보안강화에도 힘써 고객의 피해를 최소화 하고자 노력하고 있다.

더욱이 KB국민은행은 메모리해킹 대응을 위해 인터넷뱅킹 이체 거래 시 입금계좌를 암호화 처리한 마우스입력기 사용 및 공인인증서 창에 나타나는 최종 이체거래내용의 변조를 방지하는 기능 적용 등 차별화된 보안서비스를 제공하고 있다.

또한, 정보 도용 시 전자금융 거래유형을 분석하여 이상 징후를 탐지하는 ‘정밀거래정보분석 시스템(인터넷뱅킹 거래 시 국내 거주자의 해외 IP거래 등 이상징후를 탐지하여 대응하는 서비스)’을 가동해 해킹위협에 대응하고 있다.

김종현 상무는 “올해 KB국민은행은 사용자 권한관리와 비인가자 접근제어를 위해 통합계정권한관리 시스템을 업그레이드했으며, PC, 단말 내 문서 및 파일 암호화를 통한 정보유출 방지를 강화하기 위해 고객정보 유출방지 시스템을 확대 구축했다”고 설명했다.

또한, 국민은행은 최근 이슈가 되고 있는 인터넷망과 내부망을 분리해 외부공격으로부터 안전한 업무 환경을 구축하고 있다.

이와 관련 김종현 상무는 “PC기반의 가상화 방식으로 올해 12월말까지 전 영업점에 망분리 환경을 설치할 예정이다. 이는 PC 1대를 소프트웨어적으로 업무용과 인터넷용으로 구분해서 사용하는 논리적 망분리 방식”이라면서 “특히, 영업점은 논리적 망분리로 구축하고 전산센터는 현재 물리적으로 구분해 별도의 인터넷망을 사용하고 있으며, 금융위에서 제공한 망분리 가이드라인에 따라 물리적 망분리를 2014년 중에 완성할 예정”이라고 말했다.

아울러 그는 “윈도우7 전환에 따라 자동화기기의 보호 솔루션 프로그램 업그레이드도 올해 말까지 추진한다”라고 덧붙였다.

이처럼 국민은행의 금융보안 강화의 최대 목표와 정책은 ‘선제적 보안대응 체제 구축’이다.

이에 대해 김종현 상무는 “KB국민은행은 기존의 방어적 개념의 보안에서 보안위협 증가에 따른 효과적 대응과 피해 최소화를 위한 선제적 대응 보안관리 체제로 전환해 나가는 것이 목표”라면서 “이를 위해서 선제적 위험 시나리오 발굴을 위한 보안사건 분석, 접근 채널별 위험수준 평가 및 개선, 현업부서 및 정보자산의 IT보안 정책 구현 및 현황 점검, 전행적인 IT보안위원회 운영 강화 등을 추진해 나갈 계획”이라고 강조했다.

특히, KB국민은행은 선제적인 예방관리를 위해 통합로그분석 시스템을 운영 중인데, 이 시스템은 실시간으로 보안 로그를 수집하고 보안시스템들간의 상관관계 분석을 통하여 신속한 대응과 예방이 가능하다. 또한 인터넷뱅킹 불법이체에 대한 거래로그 분석도 진행하고 있어 불법 이체 패턴을 분석하여 의심거래에 대한 사고 예방 조치를 수행하고 있다.

이를 위해 KB국민은행은 혹시 발생할 수 있는 위협을 찾아내고 분석하여 선제적 대응을 할 수 있는 준비를 하고 KB내부 보안전문가를 양성해 외부 전문가와의 공조를 통한 추가 위협에 대비하고 있다. 그리고 전행적으로 산재되어 있는 보안업무를 파악하여 집중 관리함으로써 업무 효율성 제고와 내부 프로세스 개편을 통한 조직 내 효율적인 업무 수행 기반을 마련하고 최고의 보안부서로 거듭날 수 있도록 노력한다는 게 김 상무의 설명이다.

이렇듯 김종현 상무는 KB국민은행을 고객에게 ‘안전한 은행’, ‘믿음 가는 은행’으로 만들어 가는데 책임감을 가지고 최선의 노력을 경주해 나갈 것이라고 밝혔다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)