정보보호의 달, 보험권 보안 인프라·인증 고도화
정보보호의 달, 보험권 보안 인프라·인증 고도화
7월 ‘정보보호의 달’을 맞아 보험업계가 사이버 위협 대응을 위한 보안 인프라와 인증 체계를 강화하고 있다. 생성형 인공지능(AI) 도입, 클라우드 전환, 망분리 완화 등 디지털 금융 환경 변화로 해킹 리스크가 커지면서 금융회사들은 최고정보보호책임자(CISO) 중심의 거버넌스와 보안 모델 구축에 속도를 내고 있다.
지난 9일 주요 보험사의 지속가능경영보고서와 ESG보고서를 취합한 결과, 삼성생명은 고객 개인정보 보호를 위해 개인정보보호 종합관리 시스템을 운영하고 있는 것으로 나타났다. 금융보안원이 주관하는 개인신용정보 활용·관리 상시평가에서는 2025년 100점 만점으로 최고 등급인 ‘S등급’을 받았으며, 정보보호 관련 예산으로 303억원을 집행했다. 이는 정보기술 예산 대비 9.7% 수준이다.
또한 ISO 27001(정보보호관리체계 인증), ISMS-P(정보보호 및 개인정보보호 관리체계 국내 인증), ISO 27701(개인정보보호관리체계 인증) 등 국내외 정보보호·개인정보보호 인증도 유지하고 있다.
최근에는 AI 도입과 데이터 활용 확대에 발맞춰 내부통제와 사이버 방어 인프라를 한층 격상시키고 있다. CISO 산하에 ‘AI 보안’ 전담 부서를 신설해 기술 활용에 따른 정보 유출 리스크 통제력을 높였고, 개인정보보호책임자(CPO) 주관하에 신규 시스템 기획 단계부터 ‘개인정보영향평가’를 의무화해 사전 심의를 통과하지 못하면 업무 수행이 불가능하도록 프로세스를 강화했다.
차세대 보안 모델인 ‘제로트러스트(Zero Trust)’ 체계 구축에도 속도를 내고 있다. 지난해에는 네트워크와 보안 기능을 통합한 클라우드 기반 보안 체계인 ‘보안 접근 서비스 엣지(SASE, Secure Access Service Edge)’를 활용해 원격 접속 환경을 고도화했고, 운영·재해복구 시스템에는 업무 단위별 네트워크 분리·접근통제 방식인 ‘마이크로세그멘테이션(Micro Segmentation)’을 적용했다.
올해는 이를 사용자 단말까지 확대하고, 비밀번호 없는 인증 방식인 패스키 기반의 ‘소프트웨어 정의 경계(SDP, Software Defined Perimeter)’를 도입할 예정이다. 특히 사용자와 단말의 위험도·신뢰도를 실시간 평가하는 AI 서버 기반 시스템과 함께, AI가 이상징후를 1차 탐지·분류하고 전문 인력이 심층 분석하는 ‘AI SOC(인공지능 보안관제센터)’를 구축하고 있다. 삼성생명 관계자는 “해당 과제들은 9월까지 1차 파일럿 테스트를 완료하고, 연내 전사 확대 적용을 목표로 하고 있다”고 밝혔다.
한화생명은 클라우드 보안 표준 확보에 초점을 맞췄다. 2024년 보험사 최초로 클라우드 환경의 보안 통제와 개인정보보호 역량을 검증하는 국제 표준 인증인 ‘ISO/IEC27017(클라우드 정보보호 관리체계)’과 ‘ISO/IEC 27018(클라우드 개인정보보호 관리체계)’을 동시에 획득했다. 기존 ISMS-P와 함께 정보보호, 개인정보, 클라우드 관련 인증을 모두 확보해 클라우드 기반 금융서비스 확대에 대비하고 있다.
삼성화재는 신규 IT 서비스와 인프라 도입 초기부터 보안성 심사와 취약점 진단을 수행하는 예방 중심 체계를 구축했다. 손해보험업계 최초로 2023년 ISMS-P 인증을 취득해 유지하고 있으며, ‘정보보안 및 개인정보보호’를 전사 핵심 중대 이슈로 선정해 기획·개발 단계부터 리스크를 차단하고 있다.
현대해상은 외부 침입 방어와 내부 정보 유출 예방에 중점을 두고 있다. 침입차단·방지시스템 등 다수의 보안 시스템을 운영하면서 365일 24시간 실시간 통합보안관제 모니터링을 실시하고 있다. IT 프로젝트를 추진할 때는 보안성 검토를 거치고, 구축된 IT 시스템을 대상으로는 모의해킹, 서버 취약점 점검, 컴플라이언스 준수 점검 등을 수행해 안전조치 이행 여부를 확인하고 있다.
금융보안원도 자율보안과 결과책임 원칙에 맞춰 점검 체계를 고도화하고 있다. 전국 3000여 개 금융회사를 대상으로 정보보호 상시평가를 실시하고 있으며, 올해는 접근권한·접속기록 관리, 개인정보 암호화, 이상행위 탐지 등 8개 핵심 분야의 이행 여부를 검증한다. 또한 올해 178개 금융회사에 대한 취약점 분석·평가를 확대하고, 32개 회사의 288개 모바일 앱(App)도 점검한다.
사이버 방어력과 직결되는 정보보안 시장의 성장세는 금융권의 보안 투자 확대 흐름을 뒷받침하고 있다. 과학기술정보통신부와 한국정보보호산업협회 조사에 따르면 지난해 국내 정보보호산업 매출은 18조5944억원으로 전년 대비 10.5% 늘었고, 정보보안 부문 매출은 7조1244억원으로 15.9% 증가했다.
금융권 관계자는 “디지털 금융 혁신이 고도화될수록 자율보안과 실전 대응 능력이 금융사의 지속가능성을 결정짓는 핵심 지표가 될 것”이라며 “보안이 단순 비용이 아닌 비즈니스 경쟁력이라는 인식이 업계 전반에 자리 잡고 있다”고 밝혔다.
