금융감독원이 자체 보안점검에서 문제가 없다고 보고한 금융회사 425곳에 대해서도 보안 취약점 재검증을 추진한다. 최근 금융권에서 연쇄 해킹 사고가 발생한 데 따라 금융회사의 자체 점검 결과에만 의존하지 않고 외부 공격에 노출된 시스템을 확인하는 방향으로 감독을 강화한다. 보안 규정 준수 여부를 넘어 실제 해킹 방어 능력을 검증하는 체계로 전환하려는 움직임이다.
이찬진 금융감독원장은 19일 국회 정무위원회 국정감사에서 금융회사 보안점검의 실효성을 묻는 질의에 “외부에 노출된 공격표면에 대해서는 전수조사하도록 논의하고 있다”고 밝혔다.
금융위원회가 지난 14일 발표한 긴급 보안점검 결과에 따르면 금융회사 555곳 중 130곳에서 미흡 사항이 확인됐다. 나머지 425곳은 자체 점검 결과를 적정하다고 보고했다. 주요 미흡 사항은 보안패치와 관제체계 등에서 발견됐다.
이번 전수조사 논의의 핵심은 문제가 발견된 금융회사뿐 아니라 자체 점검에서 이상이 없다고 보고한 금융회사까지 실제 취약점이 존재하는지 확인하는 데 있다. 외부에서 접근할 수 있는 시스템과 서비스 접점을 뜻하는 '공격표면'을 점검해 자체 진단 과정에서 놓친 보안 사각지대를 찾아내겠다는 취지다.
최근 금융권에서는 신한은행과 KB국민은행, 하나은행 등을 포함한 16개 금융회사에서 침해사고가 발생해 약 10만건의 개인정보가 유출됐다. 금융당국의 긴급 점검에서도 다수 금융회사의 보안 관리가 미흡한 것으로 드러나면서 기존 보안점검의 실효성에 대한 의문이 커졌다.
금감원은 같은 해킹 위협에도 금융회사별 피해 여부가 엇갈린 원인도 살펴볼 방침이다.
이 원장은 우리은행과 NH농협은행에서 이번 공격에 따른 정보 유출이 확인되지 않은 배경에 대해 기본적인 보안통제의 차이를 언급했다. 우리은행은 지정된 태블릿과 스마트폰 인증을 활용했고, 농협은행은 대출모집인용 별도 외부 시스템을 두지 않았다는 설명이다.
이 원장은 두 은행의 보안 방식이 실제 해킹 피해를 예방하는 데 효과적이었는지 확인하겠다는 뜻도 밝혔다. 검증 결과에 따라 금융권의 외부 시스템 관리와 접근통제 강화에 참고할 수 있을 것으로 보인다.
보안 취약점을 사전에 발견하는 제도도 강화한다. 금감원은 보안 전문가 등이 금융회사 시스템의 취약점을 찾아 신고하면 포상하는 '버그바운티' 제도의 보상 기준을 높이는 방안을 준비하고 있다.
이 원장은 AI 활용 확대로 사이버 공격이 더욱 빠르고 반복적으로 이뤄질 수 있는 만큼 금융권 보안체계를 바꾸고 실제 방어 능력을 높여야 한다는 지적에 “그렇게 준비하고 있다”고 답했다.
류태웅 기자 bigheroryu@etnews.com
