최근 금융권을 겨냥한 연쇄 해킹 사고는 정보시스템의 안전성을 다시 생각하게 한다. 일부 시중은행에서는 대출모집인 전용 서비스 등을 통해 고객정보가 유출됐다. 반면에 국책은행의 경우 유사한 공격을 받고도 피해는 아직 확인되지 않고 있다.
국회 제출 자료에 따르면 한국은행과 3개 국책은행은 2020년부터 2026년 9월까지 약 499만건 해킹 시도를 탐지했고, 그중 올해에는 102만건이 넘지만, 해킹에 따른 침해사고는 보고되지 않았다.
이러한 차이가 어디에서 비롯됐는지 단정하기는 어렵다. 기관별 보안환경과 공격 유형도 다르고 대응체계도 차이가 있기 때문이다. 다만 사고가 발생하지 않은 기관의 대응방식에는 관심을 가질 필요가 있다.
한 시중은행은 올해 5월부터 AI 기반 취약점 탐지와 모의해킹 솔루션을 도입하고, 기존의 정기점검을 상시 점검으로 바꾸며, 핵심 금융시스템은 물론 외부 웹서비스까지 점검 범위를 넓혔다. 전자신문은 이러한 사전 대응과 별도의 인증·접근통제 체계가 고객정보 유출을 방지하는 데 기여했을 가능성을 보도했다.
첨단 보안솔루션 도입과 함께 위험을 미리 찾아 개선하려는 노력이 중요하다.
사이버 위협은 금융권에만 머물지 않는다. 국민이 일상적으로 이용하는 행정·교육·의료·유통 서비스 역시 예외가 아니다. 최근 웹서비스 개발에 널리 활용되는 PHP, Node.js, Spring Framework에서 여러 가지 취약점이 확인됐다.
이들 소프트웨어는 수많은 정보서비스 기반 기술이다. 새롭게 공개되는 취약점에 대한 영향분석과 보안 조치가 늦어진다면 금융거래에서 입은 피해는 국민의 일상생활로 확산될 수 있다. 평소 시스템의 구성과 위험요소 등 취약점을 정확하게 파악하는 일이 대응의 출발점임은 분명하다.
이 대목에서 정보시스템 감리의 역할을 되짚어보아야 한다.
'전자정부법'은 행정기관 등 공공부문에서 일정 요건에 해당하는 정보시스템의 감리를 의무화하고, 감리의 개념을 독립된 제3자가 정보시스템의 효율성과 안전성을 확보하기 위해 종합적으로 점검하고 문제점을 개선하도록 하는 활동으로 정의했다. 행정안전부 고시인 '정보시스템 감리기준'에서 구체적으로 정한 감리는 단순히 사업 일정이나 산출물을 확인하는 절차가 아니다. 요구사항부터 설계, 구현, 시험 과정에 이르기까지 시스템의 적정성을 확인하고 잠재적인 위험을 찾아 개선하도록 하는 제도이다. 관련 지침에서도 감리 수행 시 소프트웨어 보안 약점 제거 여부를 진단하도록 하고 있다.
물론 구축 중인 정보시스템 감리만으로 모든 해킹을 막을 수는 없다. 구축 단계 감리와 운영 중에 발생하는 새로운 취약점에 대한 보안점검은 역할이 다르다. 그러나 구축 과정에서 충분한 검증이 이뤄지고 그 결과가 운영 단계의 지속적인 점검과 개선으로 이어진다면 사고 가능성을 줄이는 데 기여할 수 있다.
문제는 이러한 감리가 얼마나 충실하게 수행되고 있느냐는 것이다.
정보시스템 감리는 고도의 전문성이 요구되는 업무다. 같은 시스템을 점검하더라도 감리인 경험과 기술 수준, 점검 방법에 따라 발견하는 문제와 개선방안 수준은 달라질 수 있다. 감리업체를 선정하는 방식이 중요한 이유다.
공공부문 정보화사업은 국가계약법 등 관련 계약법령과 '행정기관 및 공공기관 정보시스템 구축·운영 지침'에 따라 기술능력 평가를 중시한다. 기술평가 90%, 가격평가 10% 평가원칙이 대표적이다. 일부 예외는 있지만 가격보다 기술력과 전문성을 우선하겠다는 취지다. 국책 금융기관에서도 기관별 계약규정에 따라 기술력 중심의 평가방식을 활용하는 사례가 있다.
반면에 민간 시중은행의 경우는 감리가 의무화되어 있지도 않고 실시하는 경우에도 감리 및 전문 검증용역은 자체 계약규정에 따라 업체를 선정한다. 기관마다 차이는 있지만 평가항목과 배점, 기술·가격 평가비율, 업체 선정 결과 등을 외부에서 확인하기 어렵다. 이른바 '깜깜이 평가'에 대한 문제를 제기할 수 있다.
민간 금융기관에 공공부문 계약제도를 그대로 적용하자는 것은 아니다. 다만 고객 자산과 개인정보를 보호하는 정보시스템을 검증하는 감리업체 기술력과 독립성을 어떻게 평가하는지에 대해서는 보다 명확한 기준이 필요하다.
기술평가 비중을 높임과 아울러 제안서에 기재된 전문인력이 실제 참여하는지, 충분한 점검 기간이 확보되는지, 중요한 지적사항이 개선되는지까지 확인해야 한다.
민간 분야에도 감리를 의무화하면서 제대로 수행할 수 있는 감리업체를 공정하게 선정하고, 발견된 문제를 끝까지 개선하도록 해야 한다.
AI 기술 발전은 이러한 과제를 더욱 중요하게 만들고 있다. AI는 소스코드 분석과 취약점 탐색 속도를 높일 수 있지만, 시스템 업무 특성과 설계 적정성, 위험 파급효과까지 모두 판단해 주지는 못한다. 오히려 AI를 활용한 정보시스템이 늘어나면서 검증해야 할 대상과 범위는 더욱 넓어지고 있다.
최근 금융권 해킹 사고와 대응 사례는 우리에게 분명한 과제를 남겼다. 사고가 난 뒤 대응책을 마련하는 것도 필요하지만, 사고가 발생하기 전에 위험을 찾아 개선하는 체계가 더욱 중요하다는 것이다.
그래서 정보시스템 감리가 필요하다. 아울러 법적 의무를 충족하기 위한 형식적 절차에 머물러서는 안 되고, 전문성과 독립성을 갖춘 감리가 이뤄지고 지적사항에 대한 실질적인 개선이 뒤따라야 한다.
금융권 정보보안으로 국민 자산을 지킴과 아울러, 공공성이 높은 민간 분야 정보시스템 전반의 안전성 확보로 국민의 일상을 지켜야 한다.
AI가 발전할수록 정보시스템 진단과 점검, 그리고 독립적인 검증 중요성은 결코 줄어들지 않는다. 아울러 감리의 실시 여부보다 감리가 얼마나 실효성 있게 수행되고 있는지도 확인해야 한다.
김상복 한국정보공학기술사회 디지털중재감정기술원 위원 21thdream@gmail.com
