공격표면 관리·인증체계·내부통제 살피기로
유출 10만건 중 직접 부정결제 정보 없어
연쇄 해킹 개인정보 유출 사태에 금융당국이 금융권 공격표면 관리·인증체계·내부통제 등 보안관리 전반을 전수점검한다. 보안 취약점 점검 평가 주기도 대형 금융회사부터 연 2회 이상으로 늘린다.
딩국은 이번 사태로 사고가 발생한 금융회사는 총 16곳, 유출 정보는 10만건으로 파악 중이다. 금융회사 보안 취약점 자체 점검 결과 130개사가 보안패치와 보안관제 인력 설비 인증범위 등에서 미흡하다고 제출했다.
14일 금융위원회는 신진창 사무처장 주재로 제2차 긴급 상황대응 회의를 개최하고 이같이 밝혔다. 회의에는 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA) 등 관계기관이 참석했다.
금융권 보안관리 전수점검…취약점 점검·평가 연 2회 이상
금융위는 우선 금융회사의 공격표면 관리·인증체계·내부통제 등 보안관리 전반을 전수점검하기로 했다. 구체적인 점검범위와 일정은 금융권 협의를 통해 신속히 확정·추진해 나갈 예정이다.
금융위는 △전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화했는지 △외부접점의 인증·접근통제 권한을 명확히 설정·엄격히 관리했는지 △외부접점 관리 등 보안체계 운영·관리 △CEO·CISO·CIO 등의 보고체계·책임범위 등을 살필 예정이다.
또 금융회사가 자체 파악한 위협정보도 통합관제시스템(FIRST)을 통해 공유할 수 있도록 개선한다. 금융회사가 침해위협 정도를 직관적으로 확인·대응할 수 있는 AI 위협수준 정보체계도 조속히 마련해 나갈 계획이다.
또 공격자 관점에서 외부 노출자산, 내부 소스코드, 모바일 앱 등의 취약점을 탐지할 수 있도록 인공지능(AI) 기반 취약점 점검 인프라 구축도 추진한다.
현재 전자금융거래법과 전자금융감독규정에 따라 연 1회(외부 홈페이지는 연 2회) 시행하는 취약점 점검·평가도 연 2회 이상으로 늘린다. 공격표면·외부접점이 넓고 고객수가 많은 대형 금융회사부터 확대할 예정이다. 중요한 외부접점 등은 필수 점검대상에 포함하고 긴급한 필요가 있을 경우 수시점검 할 수 있는 근거를 마련하는 방안도 검토·추진할 예정이다.
중소형 금융회사의 경우 금보원이 각 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 검토한다. AI 침해위협에 대비한 공격표면 점검(블랙박스 테스트와 중소형 금융회사 맞춤형 보안안내서 마련 등 다양한 방안도 추진할 계획이다.
전금법 적용대상에서 빠져있어 그간 면밀한 관리가 어려웠던 대부업, 보험GA 등도 AI 보안위협에 대한 대응요령을 신속히 전파하는 등 보안 강화방안도 조속히 검토·추진할 예정이다.
16개 금융회사서 사고…유출 규모 10만건
금융위에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사는 총 16개로 파악됐다. 업권 별로 △신한·국민·부산·하나은행 △예가람·웰컴·디비·오케이저축은행 △현대·산은캐피탈 △PFCT·모우다 등 온투업자 △브라이트픽스 등 전금업자 △스트리미·프라뱅 등 가상자산사업자 △새마을금고중앙회다.
현재도 금융회사들이 공유된 IP 등을 바탕으로 침해발생 여부를 확인 중이다. 현재까지 확인된 금융회사들의 정보유출 규모는 성명, 연락처, 주민등록번호, 이메일 등 10만건 수준이다. 계좌 비밀번호, 카드번호 등 직접적 부정결제 우려가 있는 유출은 확인되지 않았다.
사고 발생이 신고된 금융회사들에 대해서는 신속히 공격IP를 차단하고 보안패치, 관련 서비스 중단 등 추가 침해사고 방지조치를 취하도록 했다. 또 개인정보 유출사실·대응요령 안내 등 소비자 보호 조치를 취하도록 관리·감독 중이다.
금감원·금보원은 현장 조사 등을 바탕으로 침해경로·공격방식 등을 신속히 파악해 각 사례별 연관성·동일 주체 여부·AI해킹 가능성 등을 확인하고 있다.
이외에도 과기부·행안부·개보위·경찰 등 유관기관 협조를 통해 금융 외 부문에 피해확산을 방지하고 공격자 검거 등 수사가 원활히 이뤄질 수 있도록 만전을 기할 예정이다.
지난 8일까지 진행한 전 금융권 555개사에 대한 12개 항목의 체크리스트 점검결과 총 425개사는 적정으로 제출했다. 130개사는 미흡사항이 있다고 보고했다.
미흡사항이 발견된 회사들은 대부분 보안패치·관제체계 관련 1~2건의 점검항목에서 보완 필요사항이 확인됐다. 상대적으로 보안역량이 약한 전금업·온투업 부문에서 비교적 많은 미흡사항이 발견됐다는 설명이다.
주요한 미흡사항은 △최신 보안패치 미적용 △제조사 기술지원 종료(EOS) △시스템 관리 미흡 △실시간(24시간) 관제체계 미구축 △대외시스템 대상 인증·인가 누락, 중요 서비스에 대한 강화된 인증절차(MFA) 미도입 등 공격표면 관리 미흡 등이었다.
각 금융회사들은 신속한 보안패치·노후장비 처분 및 교체 보안관제 인력·설비 등 확충 인증범위 확대·접근통제 강화 등 공격표면 관리 강화 조치 등 신속한 보완조치 실행계획도 함께 보고하고 즉시 조치를 시행 중이다.
댓글
0