금융권 580여 개사 보안 전수점검…"보안체계 전면 쇄신"

금융당국이 은행·증권·보험은 물론 가상자산·전자금융·온라인투자연계금융업까지 포함한 전 금융권 580여 개사를 대상으로 외부접점과 내부통제체계 전수점검에 들어간다.

최근 금융권 침해사고가 잇따른 데 따른 조치로, 대형 금융회사부터 취약점 분석·평가 주기를 연 2회로 늘리고 소비자 2차 피해 방지체계를 강화하는 한편 'AI 공격은 AI로 방어하는' 신보안체계 구축도 추진한다.

금융위원회는 5일 금융감독원·금융보안원과 전 금융권 협회장 등이 참석한 가운데 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 대응방안을 논의했다.

이날 회의에선 금융권의 보안관리상 허술한 점을 꼼꼼히 바로잡고 소비자 2차 피해가 없도록 방비를 든든히 하며, 나아가 AI시대에 걸맞은 '신보안체계'를 구축하기 위한 대응방안을 논의했다.

금융권 침해사고가 확인된 지난 9월 30일 이후 현재(11월 3일 기준)까지 총 37개사, 40건의 침해사고가 신고됐고 침해사고에 따른 정보유출 규모는 현재까지 약 47만 3000건으로 파악됐다. 

주로 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등 금융회사 영업과정에서 수집한 정보들이 많으며, 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다. 

일부 소규모 가상자산거래소·전자금융업자·온투업자의 경우에는 회사가 관리하는 자금이 탈취되는 사고도 발생해 자금 탈취 규모는 현재까지 약 10억 원 수준으로 신고됐고, 개별 이용자의 자금손실이 아직 현실화되지는 않은 것으로 파악되고 있다.

◆ 보안취약점, 빈틈없는 점검과 제도개선에 즉시 착수

먼저 은행·보험·증권 등 전통적 금융업뿐 아니라 전금업, 온투업 및 전자금융거래법 적용대상이 아닌 가상자산업권까지 포함한 모든 금융업권 대상으로 모든 IT자산의 외부접점·내부통제체계 운영실태를 전수 점검한다.

모든 금융업권 580여개 금융회사·전금업자·가상자산사업자 등이 전수점검 대상에 포함된다.

홈페이지 등 대고객 서비스뿐 아니라 직원관리, 내부업무, 제휴업무 등 외부에서 접근가능한 모든 업무영역에 대하여 인증·접근통제 시스템 전반, 영업·관리목적 API, 개발·테스트 및 임시운영 시스템 등 최근 침해사고가 주로 발생한 시스템과 주변부 시스템까지 포함해 빠짐없이 전수점검을 추진할 계획이다.

금융회사 보안관리 전반의 내부통제 운영실태도 점검한다.

각 주요 임원(CEO·CISO·CIO 등)의 역할·책임 전반, 외부접점 생성·운영·폐기 과정에서의 의사결정 절차, IT자산 관리대장 운영 여부 등에 대해 점검하고 필요시 즉각적 보완을 요청할 방침이다.

금융회사는 외부접점 전수점검 과정에서 고객·금융회사의 금전피해로 이어질 수 있거나 개인정보 유출이 우려되는 중요한 취약점이 확인되는 경우 즉시 서비스를 중단하고 외부접근을 차단해야 한다.

즉시 보완이 어렵고 중요한 서비스 제공에 직접 관련된 경우에 한해, 면밀한 대체통제 시스템을 갖추고 CEO의 승인을 받은 엄격한 조건하에 서비스를 재개할 수 있다.

이 경우에도 취약점 보완, 장비 교체 등 근본적 개선조치를 최대한 신속히 취해야 한다.

전수점검 이후에 침해사고가 발생하는 경우에는 그간의 점검이 제대로 이루어졌는지까지 꼼꼼히 따져 책임을 묻도록 할 방침이다.

관리대장에 등재돼 있는 시스템상 외부접점 전수점검은 최대한 신속히 추진해 11월 30일까지 마무리 지을 계획이며, 관리대장에 등재되지 않은 미등재 시스템에 대한 전수점검과 CEO·CISO 등 내부통제체계 전반에 대한 전수조사도 12월 31일까지 마무리 지을 방침이다.

아울러 전수점검 결과를 바탕으로 모든 금융권이 효과적 보안 내부통제 시스템을 갖출 수 있도록 '보안 내부통제 가이드라인'을 내년 1분기 중 마련·시행할 계획이다.

이어 금융권 공동 해킹 관제시스템도 고도화한다.

개별 금융회사들이 각자 파악한 침해시도 정황·내용 등을 최대한 신속하게 모든 금융업권에 전파하는 시스템도 신속하게 구축한다.

대형 금융회사는 자체 관제 관점에서 탐지한 공격방식, 공격자 IP, 악용된 취약점, 악성코드 정보 등을 선제적으로 대응할 수 있도록 통합관제시스템(FIRST)을 활용해 모든 금융권에 신속히 전파한다.

시스템 고도화 작업은 12월 중 시범운영을 거쳐, 내년 1분기 중에는 모든 금융권이 전면적으로 활용할 수 있도록 추진할 계획이다.

가상자산거래소 등 전자금융거래법 미적용 업권에 대한 신속한 사고신고·상황전파 대응체계도 정비한다.

동 업권에서 침해사고가 발생할 경우 KISA뿐 아니라 금융감독원·금융보안원에도 즉시 신고토록 신고대응 가이드라인을 11월 중 마련할 계획이다.

금융권 취약점 분석·평가 제도도 내실화한다.

모든 금융권이 상시적으로 더욱 철저히 보안관리에 임하도록 취약점 분석·평가 제도를 촘촘하고 내실있게 개편한다.

대형 금융회사부터 단계적으로 취약점 분석·평가 점검주기를 연 1회→2회로 늘리고, 전자금융거래와 직·간접적으로 관련된 모든 외부접점은 취약점 분석·평가 대상에 포함하도록 의무화할 계획이다.

금융회사의 상시적 보안관리 강화가 시급한 만큼 제도개선을 최대한 신속히 추진한다.

점검주기 단축, 모든 외부접점을 점검대상 포함, 수시평가 등 사항은 전자금융감독규정 개정안에 포함해 11월 중 규정변경 예고를 실시할 계획이며, 이행강제금 제도는 이미 발의된 전자금융거래법 개정안이 연내 국회를 통과할 수 있도록 입법 지원에 만전을 기할 방침이다.

아울러 중소형 금융회사 AI해킹 대비 지원도 강화한다.

상대적으로 보안 전문인력과 예산이 부족한 중소형 금융회사를 대상으로 다각적 보안강화 서비스를 지원한다.

금융보안원에서 AI 등을 활용해 중소 금융회사의 외부접점과 취약요인을 상시 탐색하고 위험 우선순위·조치방안까지 원스톱으로 제공하는 '원스톱 AI방어서비스'를 지원한다.

금융회사의 보안역량에 맞게 보안조치 내용을 구분·제시하고, 외부노출자산 목록화·패치 적용기간 선정 등 기본적인 내용을 손쉽게 적용할 수 있도록 안내하는 '맞춤형 보안 안내서' 및 금융회사가 침해공격의 위험도를 직관적으로 알 수 있도록 단계별 경보체계·행동요령 등도 지원한다.

중소형 금융회사의 보안 수요가 많은 만큼, 금융보안원의 역량을 최대한 활용하여 12월부터 순차적으로 신속히 추진해 나갈 예정이다.

◆ 2차 피해 방지를 위한 든든한 방어체계 마련

금융권 침해사고로 유출된 소비자 정보가 보이스피싱·명의도용 등 각종 범죄로 이어지지 않도록 불법유통 감시부터 피해차단까지 대응체계를 강화한다.

다크웹·텔레그램 등 추적이 어려운 온라인 채널을 상시 모니터링해 금융권 탈취정보 유통·거래 여부, 금융회사 대상 침해공격 모의정황, 새로운 악성코드와 보안 취약점 출현 여부 등을 면밀히 모니터링한다.

AI를 활용해 범죄계좌와 의심거래를 조기에 포착하고 금융회사 간 정보공유를 확대하는 등 보이스피싱 공동 대응체계도 한층 강화한다.

지난해 10월 출범한 금융권 공동 보이스피싱 정보공유·분석 플랫폼 ASAP의 AI의 분석기능을 강화해 범죄계좌를 더욱 신속하게 탐지·동결하는 체계를 구축할 계획이다.

구체적으로 금융회사가 범죄여부가 의심되는 거래를 ASAP에 질의하면, AI를 활용해 해당 거래가 보이스피싱에 연루되었을 가능성을 분석해 점수로 제시하는 AI 기반 '의심거래 판단지수'(피싱지수)를 11월부터 시범 도입한다.

아울러 보이스피싱 피해자를 두텁게 보호하고, 금융회사의 예방 노력을 높이기 위해 범죄 피해 일정 부분을 금융회사가 배상토록 무과실책임 법제화도 추진한다.

금융회사의 과도한 부담으로 이어지지 않도록 하위규정 등을 통해 보상대상, 한도, 면책범위 등 구체적 적용요건을 설계해 나갈 예정이다.

또한 금융회사뿐 아니라 통신사 등에 대한 책임 부여도 필요하다는 의견이 있는 만큼, 이에 대해서도 관계부처와 공론화를 신속히 추진해 나갈 계획이다.

◆  'AI 공격은 AI로'…AI기반 신보안체계 조속 구축

AI 보안위협이 현실화된 상황에서 망분리 규제를 뛰어넘어 'AI공격은 AI로 방어하는 신보안체계' 마련 논의를 본격화한다.

'망분리 규제 전면해제 TF'를 본격 가동해 금융권의 AI 활용을 뒷받침하면서도 보안 수준을 높일 수 있는 방안을 마련할 계획이다.

금융회사가 보안 강화에 AI를 상시 활용할 수 있도록 제도를 정비하고, 혁신금융서비스를 통한 망분리 규제 완화도 일관되게 추진한다.

현재 긴급조치 차원에서 진행 중인 보안목적 AI·SaaS 활용을 위한 망분리 규제 완화 조치를 상시 제도화한다.

아울러, 다양하고 새로운 IT서비스에 대한 망분리 규제 완화도 혁신금융서비스 등을 통해 일관되게 추진한다.

급변하는 보안환경에 맞춰 모든 금융권과 유관업종 등에 치밀한 전산보안 규율이 확립될 수 있도록 '디지털금융 안전법'을 마련한다.

침해사고 발생 시 고객의 직접적 자산손실 우려가 큰 업종 등에 대해 현 전자금융거래법 수준의 보안규율을 적용하는 방안을 추진한다.

또한 클라우드 사업자, 플랫폼 등 금융회사는 아니나 다수 금융회사와 연계돼 있는 제3자에 대한 규율체계 마련을 검토한다.

'디지털금융 안전법'은 내년 1분기 법안 마련을 추진한다.

이억원 금융위원장은 "작은 보안 취약점 하나가 금융회사 전체는 물론, 금융시스템의 신뢰를 훼손할 수 있는 상황"이라며 "기존의 보안관리 방식과 관행에서 벗어나 보안체계를 전면적으로 쇄신해야 할 때"라고 강조했다.

문의: <총괄>금융위원회 금융안전과(02-2100-2976)