보험·은행권, ‘사이버보안 체질개선’ 속도
보험·은행권, '사이버보안 체질개선' 속도
랜섬웨어로 인한 업무 중단과 결제 서버 침투를 통한 대규모 개인신용정보 유출 사고가 잇따르면서 사이버보안이 금융업계의 핵심 경영 과제로 떠올랐다.
여기에 최근 인공지능(AI) 스타트업 앤트로픽(Anthropic)이 개발한 '미토스(Mythos)'가 단 한 줄의 명령어로 기존 운영체제의 보안망을 무력화하는 사례가 보고되면서 기술 발전에 따른 보안 위협이 구체화하고 있다.
이에 따라 보험사와 은행 등 주요 금융회사는 내부 보안체계를 고도화하고 조직 구조를 개편하는 등 대응에 속도를 내고 있다.
■ 보험업계, 상시 점검 관리체계로 보안 강화
보험업계는 올해 경영 계획에 사이버보안 강화를 주요 축으로 반영하고 조직 구조 자체를 바꾸고 있다. 정보보호 최고책임자(CISO)를 기존 IT 부문에서 분리해 최고경영자(CEO) 직속 독립 조직으로 편제하고, 외부 해킹 차단과 개인신용정보 보호, 내부 이상징후 모니터링 등을 핵심 업무로 설정해 운영 중이다.
또한 외부와 연결되는 IT 인프라의 취약점을 상시 점검하는 관리체계를 강화하고 있으며, 보이스피싱 등 비대면 금융사기에 대응하기 위해 이상거래 탐지 시스템(FDS) 구축도 병행하고 있다.
특히 정보보호 관리체계(ISMS) 인증을 넘어 개인정보보호 요건까지 포함된 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 추가로 취득하려는 움직임도 늘어나고 있으며, 이를 통해 정보보호에 대한 신뢰성을 한층 높이고 있다.
■ 은행권, 보안 거버넌스 재편에 총력
은행권도 고객정보 보호와 내부통제 강화를 올해 공통 경영 과제로 설정했다. 보안 사고 하나가 기관 전체의 신뢰를 흔들 수 있다는 위기의식 아래 보안을 조직 문화로 뿌리내리는 작업이 진행 중이다.
일부 시중은행은 보안 조직을 IT 부서에서 떼어내 준법감시인 산하로 옮겨 경영진이 직접 책임지는 구조로 격상시켰다. 계열사 전체의 침해 대응을 통합 관리하는 사이버보안센터를 신설하거나 금융사기 전담팀을 별도로 꾸린 곳도 나왔다.
아울러 AI를 이상 거래 탐지와 내부망 감시에 적극 도입하며 은행 운영 전반을 AI 기반 보안체계로 전환하는 흐름도 빨라지고 있다.
■ 당국, 보안 관리 의무 강화·실전 훈련 확대
금융당국과 정부도 제도 정비에 속도를 내고 있다. 지난해 10월 발표된 범부처 정보보호 종합대책에 따라 정보보호 공시 의무 대상을 기존 666개사에서 전체 상장사인 약 2700개사로 확대하는 방안을 추진 중이며, CISO에게는 사내 전체 IT 자산 통제 권한과 이사회 정기 보고 의무가 새로 부여된다.
금융보안원은 지난해 12월 모의해킹 전담 조직 'RED IRIS실'을 신설하고 관련 인력을 기존 6명에서 20명으로 3배 이상 늘렸다. 또한 올해 3월 시작된 금융권 침해사고 대응훈련은 11월까지 진행되며, AI 기반 악성메일 공격 시나리오가 처음 반영됐다. 금융감독원과 공동으로 진행하는 블라인드 모의훈련도 병행된다.
업계 관계자는 "과거에는 사이버 공격의 표적이 주로 은행에 집중됐으나 현재는 보험사 등 금융권 전반으로 확대됐다"며 "담보대출이나 개인신용정보 등 민감한 데이터를 취급하는 만큼 사고 발생 시 신뢰 저하를 방지하기 위한 인식이 형성돼 있다"고 말했다.
그는 이어 "사이버보안은 고객 신뢰 확보를 위한 필수적인 전제 조건"이라고 강조하며 "보안 검증에 상당한 시간이 소요되더라도 속도보다 안전을 우선하는 환경이 조성되고 있다"고 덧붙였다.
