“코로나19로 WAF(어디서든 일하는 환경)시대에 접어들면서 사이버위협도 커지고 있습니다. 새로운 위험에 대응하기 위해선 새로운 보안전략 마련이 시급합니다.”
고정현 우리은행 부행장은 15일 서울 여의도전경련회관에서 온라인으로 개최된 '제12회 스마트금융콘퍼런스'에서 이같이 밝혔다.
랜섬웨어와 랜섬 디도스 등 사회 기반시설 해킹이 급증하고 있다. 이에 사회 기반시설과 중요 인프라를 겨냥한 사이버 위험 범위도 확대되고 있다. 랜섬 디도스는 인질과 디도스의 합성어로 금전 미지불 시 IT인프라와 서비스를 마비시키겠다고 협박하는 공격방식을 말한다.
실제 세계 각국은 테러수준 랜섬웨어 등 공격에 대비하기 위해 비상사태를 선포하는 등 대응도 확대하고 있다. 과거 이런 사이버테러가 분기별 1회 수준이라면, 최근 6개월간 19회 발생하는 등 빈도가 잦아지고 있다.
이런 사이버위협은 기존 보안체계를 우회하는 방식으로 발생되고 있다. 특히 크리덴셜스터핑, 공급망, 오픈소스 등 상대적으로 보안에 취약한 영역을 이용한 사이버위협은 지속 늘어나고 있다. 크리덴셜스터핑은 여러 사이트에서 동일한 계정정보를 사용하는 이용자를 대상으로 사전에 획득한 자격증명을 무작위로 대입해 계정을 탈취하는 방식이다.
문제는 이렇게 유출된 개인정보가 다크웹에서 랜섬웨어 등 악성코드와 해킹툴, 기업 취약점을 악용하는 방법 등을 위해 거래돼 2차 피해 발생 가능성도 커지고 있다.
고정현 부행장은 오픈소스 관리에 중요성을 역설했다. 고 부행장은 “오픈소스 관련 법적 분쟁 또는 보안사고 위험이 증가하고 있다”면서 “오픈소스의 무분별한 사용에 대한 리스크관리가 필요하다”고 설명했다.
고 부행장은 우리은행 사례를 언급했다. 앞서 우리은행은 비대면 근무환경 등을 포함한 8대 사이버 금융보안 위협을 선정한 바 있다. 이에 우리은행은 사이버 보안 위협 대응 훈련을 실시하고, 찾아가는 정보보호 교육 서비스를 진행하고 있다. 또 사이버리스크를 이사회 정기 보고하고, 직급·업무별 맞춤형 교육 과정을 실시하고 있다. 대규모 디도스 방어와 AI 접목 비대면 전 로그분석체계, 능동적 보안체계 등 대응 체계도 구축했다.
고 부행장은 향후 사이버위협이 점차 커짐에 따라 내부 사전 준비가 필요하다고 제언했다. CISO의 소명의식은 물론 이사회 차원에서 사이버 리스크 관리가 필요하다고 강조했다. 이외에도 정보보호 투자 확대 등도 선행돼야 한다고 설명했다.
고 부행장은 “단기 성과에 연연하지 않고, 비즈니스 경험과 기술 전문성을 바탕으로 중장기 정보보호 경영전략을 추진할 필요가 있다”면서 “균형 있는 정보보호 투자 확대, 긍정적인 정보보호 문화 전환 등을 통해 정보보호 기본을 지킬 필요가 있다”고 말했다.
박윤호기자 yuno@etnews.com
