금융보안원, ‘금융보안 수준 진단 서비스’ 본격 실시
금융보안원이 금융회사가 스스로 보안 수준을 정밀 진단하고 부족한 부분을 체계적으로 개선할 수 있도록 ‘금융보안 수준진단 프레임워크’를 개발해 발표했다고 10일 밝혔다.
본 프레임워크는 150여 개 해외 금융회사 등이 참여한 글로벌 금융보안 표준 진단 도구인 ‘CRI Profile’ 등을 참조했으며, 금융보안원이 약 5개월간 20개 금융회사와 작업반을 구성해 심도 있는 논의와 시범 테스트를 거쳐 개발했다.
프레임워크는 ▲거버넌스 ▲식별 ▲보호 ▲탐지 ▲대응 ▲복구 ▲공급망 등 7개 분야로 구성되며, 총 45개 항목과 127개 세부 원칙을 바탕으로 보안 전 영역의 종합 진단이 가능하다. 보안 수준은 초기(Initial)→기반(Defined)→발전(Managed)→고도화(Advanced) 4단계로 평가된다. 금융회사가 평균 수준의 보안 체계를 갖추고 있는 경우 2단계인 '기반' 등급을 받도록 설계했으며, 보안 수준을 높이면 '발전', '고도화'로 등급이 상향되는 등 금융회사가 현실에 안주하지 않고 더 높은 보안 수준을 목표로 개선해 나가도록 유도하는 것이 특징이다.
기존 보안 진단이 체크리스트 기반의 예·아니오(Y/N) 방식으로 이행 여부를 단순 점검하는 경우가 많았다면, 이번 수준진단은 현재 수준(As-is)을 진단한 뒤 목표(To-be)를 설정하고 개선하는 방안으로 차별화했다.
금융보안원은 프레임워크의 현장 안착을 지원하기 위해 정책·기술 분야 보안 전문가 7인으로 구성된 전담조직 ‘자율보안연구팀’을 지난 1월 신설했다. 오는 3월부터는 희망 금융회사를 중심으로 현장 방문 진단을 제공하고, 세부 진단 방법과 보안 모범사례를 담은 가이드도 함께 제공해 금융권 전반의 보안 역량을 끌어올린다는 계획이다.
박상원 금융보안원 원장은 “망분리 규제 완화와 AI 전환(AX) 등 급변하는 금융 IT 환경 속에서 새로운 보안 위협에 선제적으로 대응하기 위해서 금융회사가 주도적으로 보안을 계획하고 실천하는 자율보안 역량 확보가 무엇보다 중요하다”며 “금융회사 스스로 보안 수준을 진단하고 개선하는 선진화된 자율보안 문화가 금융 현장에 뿌리내릴 수 있도록 최선을 다하겠다”고 밝혔다.
