〈편집자주〉
사이버 침해사고가 산업 전반으로 확산하면서 기존 보안체계의 한계가 드러나고 있다. 인공지능(AI)이 해킹에 활용되면서 산업별 보안 체계 강화가 시급해졌다. 전자신문은 '보안긴급진단' 기획 시리즈를 통해 금융·제조·정보기술(IT)·공공 등 4개 분야의 보안 실태와 구조적 취약점을 살펴보고 개선 과제를 짚어본다.
금융권의 잇단 침해사고를 계기로 외부 연계 시스템의 보안관리 허점이 도마에 올랐다. 금융회사들이 핵심 업무 시스템을 집중적으로 보호해 온 반면, 기존부터 운영하던 협력사 연계 시스템은 관리 대상에서 누락되거나 점검이 소홀했다는 지적이다. AI을 활용한 공격이 고도화하면서 자산 관리와 취약점 점검의 자동화는 물론, 망분리 규제 완화에 대한 구체적인 보안 기준 마련도 요구된다.
은행·저축은행·캐피탈·보험사 등 다수의 금융사는 지난 9월 말부터 침해사고로 다량의 개인정보를 유출했다. 대출 모집인 조회 서비스와 직원용 업무지원 시스템 등 핵심 금융거래망 밖의 시스템들이 주 공격 대상이 됐다.
문제는 새롭게 구축된 서비스보다 기존부터 운영하던 시스템의 관리가 부실했다는 점이다. 금융회사가 직접 운영하는 서버는 관리하면서도 협력사나 외부 업체와 연결된 시스템을 자사 보안관리 범위에 충분히 포함하지 못했다는 분석이다.
이기혁 중앙대 교수는 “금융권은 핵심 시스템의 보안 수준이 상대적으로 높지만, 외부 인터페이스나 협력사와 연동된 시스템의 관리가 소홀했다”며 “협력사가 운영하는 시스템을 자사가 관리해야 할 자산으로 인식하지 않은 것이 문제”라고 지적했다.
대규모 전산 환경에서 실시하는 일회성 점검의 한계도 지적됐다. 수많은 서버를 제한된 인력과 예산으로 점검하다 보니 전수점검이 지연되고, 점검 대상별로 관리 공백이 발생할 수 있다는 것이다.
이 교수는 “서버가 많아 단기간에 전수조사를 하기 어렵다”며 전문인력과 예산을 확충해 일회성 조사가 아닌 상시 점검체계를 구축해야 한다고 강조했다.
이 같은 관리 공백을 줄이려면 자산 식별과 취약점 점검의 자동화가 필요하다. 공격자가 인공지능(AI)을 활용해 취약점을 찾아내는 속도가 빨라지면서 방어자도 AI를 활용해 신속하게 취약점을 발견·조치해야 한다는 것이다.
금융당국도 AI 활용을 확대하기 위해 망분리 규제를 단계적으로 완화하고 있다. 그러나 금융정보의 중요도에 따라 어떤 시스템에 물리적 망분리를 유지하고, 어떤 영역에 논리적 망분리를 적용해야 하는지 구체적 기준이 충분하지 않다는 비판이 나온다. 규제 완화 방향은 제시했지만 금융회사가 실제 보안체계에 적용하기 위한 세부 지침은 미흡하다는 진단이다.
김승주 고려대 교수는 “금융권은 민감한 정보가 많은 만큼 중요도에 따라 정보를 어떻게 분류할지 기준을 제시해야 한다”며 “망분리를 완화해 AI를 활용하려면 정부가 이러한 기준부터 마련해야 한다”고 강조했다.
금융당국의 역할도 중요하다. 미국은 재무부의 금융권 사이버보안 지원사업인 '프로젝트 포트리스'를 통해 민간 금융회사가 사이버보안·인프라보안국(CISA)의 무료 취약점 점검 서비스를 활용하도록 지원하고 있다.
김 교수는 “자산 식별을 철저히 해 보안 사각지대를 없애고, AI로 취약점을 신속하게 점검할 수 있는 환경을 만들어야 한다”며 “정부도 금융회사에 점검과 보고만 요구하지 않고 자동화 도구를 제공하는 등 실질적 지원에 나서야 한다”고 강조했다.
박진형 기자 jin@etnews.com
