금융보안원이 금융회사 정보기술 인프라의 보안 수준을 점검하기 위한 모의해킹 기준을 마련했다. 이 기관은 3일 '금융분야 침투테스트 수행 가이드라인'을 발간했다고 전했다.
침투테스트는 실제 공격자가 사용하는 기법을 활용해 시스템에 침투할 수 있는지를 확인하는 보안 점검 방식이다. 개별 취약점을 찾는 일반적인 점검과 달리, 공격자가 내부 시스템으로 진입해 핵심 자산에 접근하는 전체 과정을 재현하는 점이 특징이다.
최근 개인정보 상시평가에 모의해킹 항목이 도입되고 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 기술심사에도 모의침투가 포함되는 등 제도적 요구가 확대되고 있다. 생성형 인공지능(AI)을 악용하거나 여러 취약점을 결합하는 공격이 늘면서 금융회사가 실제 공격 상황을 가정해 대응 역량을 검증할 필요성이 커졌다는 것이 금융보안원의 설명이다.
금융보안원은 이번 가이드라인을 통해 금융회사마다 달랐던 침투테스트의 개념과 범위를 정리하고, 금융권이 공통으로 활용할 수 있는 수행 기준을 제시했다. 가이드라인은 침투테스트를 사전 준비, 점검 수행, 결과 보고, 사후관리 등 4단계로 구분했으며, 수행 과정에서 확인해야 할 사항은 3개 분야 6개 항목의 체크리스트로 정리했다.
국제 공격 분석체계인 'MITRE ATT&CK'과 록히드 마틴의 '사이버 킬체인' 등 공격 프레임워크도 반영됐다. 정보 수집, 초기 침투, 내부 확산, 핵심 자산 접근 등 실제 사이버공격 흐름을 시나리오로 구성해 금융회사의 탐지·차단 체계가 정상 작동하는지 확인할 수 있도록 했다.
박상원 금융보안원장은 AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 필수라고 강조했다. 그는 금융보안원이 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 지원하고, 현장 의견을 반영해 가이드라인을 보완하겠다고 덧붙였다.
