- 금융감독원 '금융회사의 제3자 IT 리스크 관리 가이드라인' 11월부터 순차 시행
- 'TITAN AI' 기반 제3자·공급망 상시 모니터링으로 금융권 IT 리스크 관리 지원
위협 기반 제3자 위험 관리(Threat-Informed Third-Party Risk Management, TPRM) 기업 시큐리티스코어카드는 오는 11월부터 시행되는 '금융회사의 제3자 IT 리스크 관리 가이드라인'에 대응해 금융회사의 외부 IT 서비스 및 공급망 리스크 관리를 지원하는 AI 위협 인텔리전스 기반 TPRM 플랫폼 '타이탄 AI(TITAN AI)'를 제시했다.
금융감독원은 지난 7월 30일 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다. 클라우드·서비스형 소프트웨어(SaaS) 등 외부 IT 서비스를 이용하는 과정에서 발생할 수 있는 장애와 해킹, 정보유출 등의 위험을 전 주기에 걸쳐 관리하는 것이 핵심이다.
가이드라인은 이사회와 경영진의 책임을 명확히 하고 △계약 전 사전 실사 △정기 평가 △장애 대응 △계약 종료 후 정보자산 반납 및 접근권한 말소 등 제3자와의 관계 전반에 걸친 단계별 관리 기준을 제시한다. 오는 11월부터 업권별로 순차 시행될 예정이다.
이에 따라 금융회사는 연 1회 또는 특정 시점에 공급업체를 평가하는 방식에서 벗어나 제3자와 확장된 공급망의 보안 상태를 지속적으로 파악하고, 새로운 위협 발생 시 신속하게 대응할 수 있는 상시 관리체계를 구축할 필요성이 커지고 있다.
시큐리티스코어카드는 이러한 변화에 대응해 TITAN AI를 기반으로 공급업체와 확장된 공급망의 사이버 위험을 지속적으로 모니터링하고, 위협 인텔리전스와 AI를 활용해 주요 위험을 식별·우선순위화해 대응할 수 있도록 지원한다.
TITAN AI는 AI와 실시간 위협 인텔리전스(Threat Intelligence)를 결합한 제3자 위험 관리 플랫폼이다. 정기적인 보안 평가에 그치지 않고 공급업체와 확장된 공급망에서 발생하는 실제 위협을 파악해 위험의 우선순위를 설정하고 대응할 수 있도록 돕는다.
플랫폼은 'TITAN Watch', 'TITAN Assess', 'TITAN Secure' 등으로 구성돼 공급망 모니터링부터 제3자 보안 평가 자동화, 위협 기반 대응까지 제3자 위험 관리 전반을 지원한다.
TITAN Watch는 위협 데이터와 AI 자동화 기술을 기반으로 공급망 전반의 보안 위험을 지속적으로 모니터링한다. 금융회사가 특정 시점의 보안 평가 결과에만 의존하지 않고 공급업체의 변화하는 보안 상태를 파악해 제3자 위협에 신속하게 대응할 수 있도록 지원한다.
또한, TITAN Assess는 AI를 활용해 보안 설문(Security Questionnaire)과 컴플라이언스 문서 작성 등 기존에 수작업으로 진행하던 제3자 평가 업무를 자동화한다. 공급업체가 자체 보고한 정보와 객관적인 보안 등급(Security Ratings)을 함께 활용해 평가 업무의 효율성과 지속성을 높인다.
아울러 TITAN Secure는 위협 인텔리전스를 제3자 위험 관리에 결합해 공급업체의 위험을 실시간으로 모니터링하고 새로운 위협에 대응하도록 지원한다. 특히 알려지지 않은 제3자·제4자 공급업체를 식별하고 확장된 공급망에서 발생하는 위험을 파악한다. 실제 위협 정보를 공급업체의 비즈니스 중요도와 통제 정보에 연계해 대응 우선순위를 설정할 수 있도록 돕는다.
시큐리티스코어카드는 TITAN AI를 통해 금융회사가 제3자와 공급망 전반에 대한 가시성을 확보하고, 실제 위협 정보를 기반으로 위험의 우선순위를 정해 대응·개선하는 '위협 정보 기반 제3자 위험 관리(Threat-Informed TPRM)' 체계를 구축할 수 있도록 지원한다.
특히 금융회사의 관리 대상은 직접 계약한 제3자에만 한정되지 않는다. 공급업체가 다시 이용하는 제4자와 그 이상의 공급망까지 연결될 수 있어 확장된 공급망(Extended Supply Chain)에 대한 가시성을 확보하는 것이 중요하다. TITAN Secure는 이러한 제3자·제4자 공급업체의 위험을 식별하고 관리할 수 있는 기능을 제공한다.
우청하 시큐리티스코어카드 지사장은 “금융회사의 IT 환경이 클라우드와 SaaS, 다양한 외부 IT 서비스로 확대되면서 제3자 리스크가 보안과 업무 연속성에 직접적인 영향을 미치는 핵심 요소로 부상하고 있다”며 “제3자 IT 리스크 관리 역시 특정 시점에 협력사의 보안 상태를 확인하는 방식에서 벗어나 위험을 지속적으로 탐지하고 실제 위협 정보를 바탕으로 우선순위를 정해 대응하는 체계로 발전해야 한다”고 말했다.
이어 “TITAN AI는 제3자 데이터와 위협 인텔리전스, AI 기반 자동화를 결합해 금융회사가 변화하는 공급망 위험을 효과적으로 파악하고 관리할 수 있도록 지원한다”며 “가이드라인 시행을 계기로 금융회사들이 규제 준수를 넘어 공급망 사이버 회복력(Supply Chain Cyber Resilience)을 강화할 수 있도록 지원하겠다”고 덧붙였다.
임민지 기자 minzi56@etnews.com
