6~7일 금고 지정 제안서 접수
광주·농협·우리은행 참여 전망
AI 해킹에도 '전산보안 8점' 유지
'기타 11점' 주민 편의 등에 배분
"공공자금…'보안 평가' 강화해야"
해킹에 줄줄이 뚫린 은행권. 뉴시스
4년간 약 100조원 규모의 전남광주통합특별시 금고 선정을 앞두고 최근 금융권을 덮친 인공지능(AI) 기반 해킹 사태가 새로운 변수로 떠올랐다. 막대한 지방재정을 맡길 금융기관의 사이버 보안 역량을 별도로 강화해 평가할 수 있었지만, 광주특별시는 이를 금고 지정 기준에 충분히 반영하지 못한 채 선정 절차에 들어간 것으로 확인됐다.
6일 광주특별시에 따르면 이날부터 7일까지 이틀간 금융기관을 대상으로 금고 지정 제안서를 접수한다. 광주은행과 NH농협은행을 비롯해 우리은행 등이 참여할 가능성이 거론된다. 최종 선정은 이달 말로 잠정 확정된 상태다.
광주특별시 금고 지정 평가 조례는 총 100점 중 ▲금융기관의 신용도·재무구조 안정성 27점 ▲대출·예금금리 20점 ▲지역주민 이용 편의성 24점 ▲금고업무 관리능력 22점 ▲지역사회 기여·자치단체 협력사업 7점으로 구성됐다. 이 중 ‘금고업무 관리능력’은 세부적으로 ‘세입·세출업무 자금관리 능력’(6점), ‘금고관리업무 수행능력’(8점), ‘전산시스템 보안관리 등 전산처리능력’(8점)으로 나뉜다.
다만 이같은 배점은 행정안전부의 지방자치단체 금고 지정 기준과 일부 차이가 있다. 행안부 기준에는 11점의 ‘기타사항’이 포함돼 있지만, 광주특별시는 이를 별도 항목으로 두지 않고 신용도·재무구조 안정성에 2점, 대출·예금금리에 3점, 지역주민 이용 편의성에는 무려 6점을 추가로 배분했다. 최근 금융권의 사이버 보안 위협 대응 능력을 평가에 반영할 수 있는 기회를 활용하지 못한 셈이다.
특별시는 이미 지난달 금고 지정 공고를 내고 이달 6~7일 금융기관의 제안서를 접수하는 단계에 들어섰다. 제안서 제출이 시작된 뒤 특정 평가항목의 배점을 변경할 경우 금융기관의 예측 가능성과 공정성 논란으로 이어질 수 있어, 이번 선정에서는 현행 조례에 따른 평가 기준을 변경하긴 어려운 상황이다.
광주특별시 세정정책과 관계자는 “금고 선정은 조례에 정해진 평가 기준에 따라 진행하기 때문에 이미 제안서 접수에 들어간 이상, 특정 항목의 배점을 갑자기 늘리거나 줄이는 데는 한계가 있다”고 설명했다.
하지만 금융권에서는 AI 기반 해킹에 대한 금융기관별 대응 결과가 엇갈리면서 금고 선정에서도 사이버 보안 역량을 더욱 면밀하게 살펴봐야 한다는 반응이다.
앞서 지난달 28일 신한은행에서 2만5천여 건의 고객정보가 유출된 것을 비롯해 KB국민은행과 하나은행에서도 잇따라 개인정보 유출 사고가 발생했다. 반면 농협은행과 우리은행은 유사한 공격을 받았지만 현재까지 정보 유출 피해가 확인되지 않았다. 금융당국은 이번 공격이 외부에 노출된 업무지원 시스템 등을 집중적으로 노린 것으로 보고 전 금융권에 긴급 점검을 지시했다.
은행들도 앞다퉈 보안 역량 강화를 강조하고 있다.
광주은행은 현재까지 이번 해킹 사태와 관련한 개인정보 피해가 발생하지 않은 만큼 기존 시스템을 유지하면서도 AI를 활용한 새로운 공격에 대응할 수 있도록 방어 역량을 지속적으로 강화한다는 입장이다.
광주은행 관계자는 “현재 시스템에서 개인정보 피해가 발생하지 않았는데 이를 무조건 바꾸는 것이 오히려 새로운 공격 표적을 만들 가능성도 있다”며 “이번 사태를 계기로 AI 공격에 대응할 수 있는 모든 역량을 활용해 개인정보 유출 등 피해를 최소화하고 예방하는 데 최선을 다하겠다”고 밝혔다.
광주은행(왼쪽), NH농협은행 전남본부 전경
농협은행은 지난 2011년 대규모 전산사고 이후 전산망 보완과 보안 체계를 지속적으로 강화해 온 점을 강조했다. 특히 마케팅 편의성이나 신규 서비스 확대를 위해 외부 시스템과의 연결을 무분별하게 늘리기보다 웹·API 등 대외 접점을 보수적으로 관리한 점도 이번 공격에 대한 방어력을 높인 요인으로 보고 있다. 최근 금융권 해킹이 은행의 핵심 전산망보다 외부 업무시스템 등 상대적으로 보안 취약점이 발생하기 쉬운 접점을 통해 이뤄진 사례가 많았기 때문이다. 외부에서 내부 시스템으로 이어지는 연결고리를 최대한 제한해 공격 표면 자체를 줄였다는 설명이다.
또 일반 업무망과 대고객 금융거래망, 대외 인터넷망 등을 분리하는 망분리 체계를 지속적으로 고도화했다. 외부 접점이 공격받더라도 내부 금융거래 및 핵심 데이터 영역으로 곧바로 침투하기 어려운 구조를 갖춰 피해 확산을 막는 방식이다.
농협은행 관계자는 “2011년 전산사고 이후 정보보호에 대한 조직 전체의 인식과 대응체계를 지속적으로 강화해 왔다”고 강조했다.
금융권에서는 이번 사태를 계기로 금고 선정 과정에서도 단순히 ‘보안 시스템을 갖췄는가’를 넘어 실제 공격을 탐지하고 차단할 수 있는 능력과 사고 발생 시 대응·복구 체계까지 살펴봐야 한다는 의견이 나온다. 특히 특별시가 맡길 금고는 시민 세금과 각종 공공자금이 집중되는 만큼 금융기관의 사이버 보안이 곧 행정서비스의 안정성과 직결될 수 있다는 점에서다.
한 금융기관 관계자는 “최종 결과는 조례에 따라 적절한 평가가 이뤄질 것”이라면서도 “특별시 차원에서 금융기관이 제출한 제안서에 보안 역량 등을 어떻게 제시하는지도 면밀히 살펴볼 필요가 있다”고 제언했다.
박찬기자 juve5836@mdilbo.com
댓글
0