금융회사가 실제 해커의 공격 방식에 맞춰 정보기술 인프라의 보안 수준을 점검할 수 있도록 하는 금융권 특화 모의해킹 기준이 마련됐다.
금융보안원은 금융회사의 침투테스트 수행 절차와 관리 기준을 담은 ‘금융분야 침투테스트(모의해킹) 수행 가이드라인’을 발간했다고 3일 밝혔다.
침투테스트는 실제 공격자가 사용하는 기법을 적용해 금융회사의 시스템에 침투할 수 있는지를 확인하는 목표 중심의 보안 점검 방식이다. 단순히 개별 취약점을 찾는 데 그치지 않고 공격자가 내부 시스템에 진입해 핵심 자산에 접근하는 전체 과정을 재현한다는 점에서 일반적인 취약점 점검과 차이가 있다.
최근 개인정보 상시평가에 모의해킹 항목이 신설되고 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 기술심사에도 모의침투가 도입되는 등 제도적 요구가 확대되고 있다. 여기에 생성형 인공지능(AI)을 악용하거나 여러 취약점을 결합하는 공격도 늘면서 금융회사가 실제 공격 상황을 가정해 대응 역량을 검증해야 할 필요성이 커졌다.
특히 금융회사는 고객의 자산과 개인정보를 대규모로 보유하고 있어 보안사고가 발생하면 피해가 광범위하게 확산될 수 있다. 금융보안원은 이번 가이드라인을 통해 회사별로 달랐던 침투테스트의 개념과 범위를 정리하고 금융권이 공통적으로 활용할 수 있는 수행 기준을 제시했다.
가이드라인은 침투테스트를 ▲사전 준비 ▲점검 수행 ▲결과 보고 ▲사후관리 등 4단계로 나눠 금융회사 보안담당자가 시험을 기획하고 관리하는 데 필요한 실무 내용을 담았다. 수행 과정에서 확인해야 할 사항은 3개 분야 6개 항목의 체크리스트로 정리했다.
국제적으로 활용되는 공격 분석체계인 ‘MITRE ATT&CK’과 록히드 마틴의 ‘사이버 킬체인’ 등 공격 프레임워크도 반영했다. 이에 따라 정보 수집과 초기 침투, 내부 확산, 핵심 자산 접근 등 실제 사이버공격의 흐름을 시나리오로 구성해 금융회사의 탐지·차단 체계가 제대로 작동하는지 살펴볼 수 있도록 했다.
박상원 금융보안원장은 “AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수”라며 “금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 지원하고 현장 의견을 반영해 가이드라인을 보완하겠다”고 말했다.
