스마트금융 확산 따라 보안 위협도 증가
서버 보안 중요성 부각…망 분리 대안 제시
3.20 전산해킹 사건 이후 금융권이 머리를 맞대고 날로 진화하고 있는 해킹 공격으로부터 금융 전산망을 보호할 대안을 모색하는 시간을 가졌다.
21일 한국금융연구원은 은행회관 세미나실에서 '금융전산망 보안시스템의 강화를 위한 제언'이라는 주제로 공개토론회를 진행했다.
이날 토론회는 3.20 전산해킹 사건의 반성으로부터 출발해 비대면거래의 대세로 자리잡고 있는 스마트뱅킹 등 전자금융의 보안문제에 대한 집중적인 토론이 펼쳐져 눈길을 끌었다.
성재모 금융보안연구원 정보보안본부장은 "과거 PC 기반 전자금융 서비스는 스마트폰으로 대변되는 스마트금융 서비스로 급속하게 변화하고 있다"며 "언제 어디서나 스마트금융 거래가 가능해 졌지만 이 같은 전자금융 환경 변화에 따른 위협 또한 증가했다"고 전했다.
그는 "스마트폰의 운영체계 및 앱 등을 타깃으로 하는 악성코드의 급속한 증가가 이뤄지고 있으며 특히 스마트폰, 스마트브랜치, 모바일 카드 활성화 등에 따른 새로운 위협 증가가 예상된다"고 지적했다.
성 본부장은 "최신 보안 위협에 대처하기 위해서는 기술적 접근만으로는 비용과 시간적인 한계가 있다"며 "다양한 보안 위협에 대응하기 위해서는 관리적, 기술적, 물리적 보안을 모두 고려한 실효성 있는 조직·인력·예산 등 '보안 거버넌스' 체계 강화가 무엇보다 시급하다"고 강조했다.
임을규 한양대 컴퓨터공학부 교수는 "기존 금융권 보안은 주로 고객의 개인정보보호와 불법인출차단에 맞춰져 있었으나 3.20 전산해킹 사고를 통해 금융사 내부 서버시스템과 서비스도 공격 대상이 될 수 있다는 점을 알게 됐다"며 "이제는 금융 전산망 마비를 막기 위해 내부 서버와 서비스에 대한 보호책도 마련해야 한다"고 조언했다.
이어 그는 "하나의 PC에서 많은 시스템을 관리하지 않도록 하는 시스템 최소화가 필요하며 기능을 여러 시스템으로 나누어서 관리해야 한다"며 "중요시스템에 접근하는 관리자 PC 서비스를 최소화하고 가능하면 전용 PC 지정을 하고, 외부전문기관과의 공조 체계도 공고히 수립할 필요가 있다"고 강조했다.
남승우 미라지웍스 대표는 "바이러스가 퍼져 신고가 들어와서야 대응하게 되는 기존 백신시스템은 최근처럼 어느 특정 회사를 타깃으로 공격해 오는 해킹에 무용지물일 수밖에 없다"며 "어떤 위험이 들어오면 격리할 수 있는 망 분리가 대안이 될 수 있다"고 제안했다.
이윤석 금융연구원 연구위원은 "어떤 사이트에 접속을 할 때 로그인 하는 방식에서 외국은 표준보안방식을 우리나라는 공인인증서 방식을 선택하고 있는데 이 방식이 강화된 보안수준으로 이어지고 있는지 의문이다"며 "향후 공인인증서 접속방식을 유지해 나가야 할지 면밀한 검토가 필요하다"고 주장했다.
정의석 하나은행 보안팀장은 금융보안과 관련 실무현장에 애로점에 대해 주로 이야기 해 눈길을 끌었다.
그는 "은행권 보안담당자들을 3D 직종이라고 하는데 위장병이나 스트레스가 많다"며 "보안은 경영진의 관심과 배려가 없으면 되지 않으며, 보안담당자의 전문화도 시급하다"고 전했다.
이어 그는 스마트폰 뱅킹 보안과 관련 "우선 제조사가 제조단계부터 안전성 검사를 하고 기본적인 통제나 제한이 있도록 해야 하며 이동통신사도 오픈마켓 플레이스의 악성코드를 사전에 검사하고 금융 앱에 인증마크를 주는 등 노력이 필요하다"고 주문했다.
마지막 토론자로 나선 전요섭 금융위원회 전자금융과장은 "3.20 전산해킹 사고가 난 이후 금감원에서 5개 금융기관에 대해 특별검사를 실시하고 현재 TF에서의 논의가 중반 정도에 있어 말할 수 있는 건 제한적"이라면서도 "오늘 나온 이야기들 대부분이 현재 TF에서 검토중이라는 점은 긍정적이다"고 전했다.
이어 그는 "PC 기반의 전자금융 서비스가 스마트 금융 환경으로 변화했음에도 똑같이 (보안시스템) 적용될 수 있느냐는 지적은 좋은 지적으로 검토해 보겠다"며 "현재처럼 보안담당자 직원들에 규제와 벌칙만 있고 인센티브는 별로 없다는 부분은 검토해 볼 것"이라고 밝혔다.
10년 넘게 유지해온 공인인증서 시스템에 대해서도 정책적 변화를 줄 것임을 시사했다.
전 과장은 "공인인증서 문제는 금년 중 외부 용역 발주중에 있고 시간이 걸리기 때문에 금년 하반기까지 가야 검토가 될 수 있을 것"이라며 "민주당 이종걸, 최재천 의원이 관련 법안을 발의한 상태이기 때문에 시간을 두고 봐야 될 것 같다"고 말했다.
이어 그는 TF에서 진행될 향후 금융권 보안정책과 관련 "2011년의 큰 방향과 크게 다르지는 않을 것”이라며 “557 규정 등에서 엄청난 변화는 쉽지 않을 것"이라고 밝혔다.
557규정은 금융기관은 전체인력의 5%를 IT인력으로 두고 이중 5%를 정보보호 인력으로, IT예산 중 7%를 정보보호에 사용하도록 한 금융권 보안강화 규정이다.
마지막으로 그는 "전자금융거래는 두 가지 측면으로 볼 수 있는데 편해야 하고 안전해야 한다는 것"이라며 "IT산업의 발달로 편리한 것을 추구하는 것이 최우선 가치가 되었는데 안전성과 보안성 위에 편리가 있어야 하며 이용자들도 보안의식에 대해 준비를 해 나가야 할 것"이라고 말했다.
