[경제 트렌드] 금융업계, 보안규제 해법 찾는다

차세대 웹 통신 표준 프로토콜에서 양자내성암호까지 금융 데이터 보안 고도화

사진=토스

(시사캐스트, SISACAST=송현아 기자) 디지털금융이 확산되면서 정부의 보안규제도 까다로워져 업계가 대응하는 일이 쉽지 않다. 보안도 중요하지만 잦은 시스템 업그레이드는 운영의 안정성과 기업 비용 지출에 있어서 부담이 될 수 있다. 보다 성능이 우수하고 안정적이고 경제적인 방법을 모색하는 기업들의 대응 사례를 찾아봤다.

최근 비바리퍼블리카(토스)의 전자지급결제대행(PG) 계열사 토스페이먼츠(대표 임한욱)가 국내 금융 및 정보기술(IT) 업계 최초로 ‘양자내성암호(PQC, Post-Quantum Cryptography)’를 전면 도입했다고 밝혔다.

양자내성암호는 양자컴퓨터의 압도적인 연산 능력으로도 해독할 수 없는 복잡한 수학 알고리즘 기반의 차세대 보안 암호 체계를 말한다. 양자컴퓨터는 양자역학적 원리를 활용해 이론상 기존 슈퍼컴퓨터가 수천 년 걸릴 난제를 단 몇 초 만에 해결할 것으로 기대되는 혁신적인 컴퓨팅 기술이다.

토스페이먼츠는 결제 데이터가 생성되고 전달되는 전자결제서비스 접점에 양자내성암호 체계를 도입했다. 자체 데이터센터(IDC)와 클라우드(AWS) 등 인프라 환경 전반에 걸쳐 적용을 마쳤다. 가맹점과 소비자 사이의 핵심 접점인 결제창 전면에 도입한 것이 특징이다. 사용자는 별도의 기술적 대응이나 설정 변경 없이도 최고 수준의 '양자 보안' 혜택을 즉시 누릴 수 있게 됐다.

크롬, 엣지, 사파리, 파이어폭스 등 양자내성암호를 지원하는 최신 브라우저로 토스페이먼츠 결제창에 접속하면, 서버와의 통신 과정에서 양자내성암호가 자동으로 활성화 되는 방식이다. 아직 이 기술을 지원하지 않는 환경에서도 기존의 검증된 암호화 체계가 그대로 적용되기 때문에 결과적으로 서비스 호환성을 유지하면서도 보안 성능은 더욱 강화되게 됐다.

'선수집·후복호화' 공격 위험에 노출…2030년대 중반 양자컴퓨터 상용화 전망

보안 업계에서는 양자컴퓨터 상용화 시점을 2030년대 중반으로 전망하고 있다. 하지만 양자컴퓨터의 위협은 이미 시작되었다고 보는 것이 업계의 중론이다. 해커가 현재의 암호화된 통신 데이터를 미리 수집해두었다가 향후 양자컴퓨터가 보급되는 시점에 복호화하는 이른바 ‘선수집·후복호화(Harvest Now, Decrypt Later)’ 공격 위험에 이미 노출되어 있기 때문이다.

카드 정보, 거래 내역 등 금융 데이터는 수십 년이 지나도 가치가 유효한 민감 정보이기에 장기적인 기밀성 보호가 필수적이다. 토스페이먼츠는 이러한 잠재적 위험을 원천 차단하기 위해 미국 국립표준기술연구소(NIST)의 표준 알고리즘인 ‘ML-KEM’ 기반 하이브리드 키 교환 방식을 채택했다. 기존 타원 곡선 암호화 방식과 양자내성 알고리즘을 결합해 현재와 미래의 위협에 동시 대응하는 고도화된 방식이다.

이번 도입은 국가정보원과 과학기술정보통신부가 제시한 ‘2035년 국가 주요 기반시설 양자내성암호 전환’ 마스터플랜보다 약 10년을 앞선 선제적 성과이다. 현재 국내 일부 시중은행과 가상자산 거래소 등이 기술 검증(PoC)이나 특정 VPN 구간에 한정해 도입을 시도하고 있다. 그러나 대고객 서비스와 연결된 전체 웹서비스 및 API 서비스에 양자내성암호를 전면 적용한 사례는 토스페이먼츠가 금융 및 IT 업계를 통틀어 유일하다.

한편 이러한 대규모 인프라 전환이 서비스 중단 없이 가능했던 배경에는 토스페이먼츠의 기술 지원 전문 조직인 ‘TAM(Technical Account Manager)’의 역할이 컸다. TAM 조직은 지난 수년간 가맹점별 맞춤형 전환 가이드를 제공하고, 다양한 레거시 환경과의 기술적 호환성을 정밀 검증해왔다. 이러한 집요한 노력을 통해 수많은 가맹점이 기술적 충격 없이 미래형 보안 환경으로 연착륙할 수 있었다.

토스페이먼츠는 이번 양자내성암호 전면 적용으로 지난 4년간 이어온 보안 프로토콜 고도화 여정을 완성했다. 지난 2022년 PG 업계 최초 HTTP/3 도입, 2025년 TLS 1.3 전면 도입에 이어 양자내성암호 전면 도입까지 성공하며, NIST 표준 양자내성암호 알고리즘을 채택한 글로벌 수준의 보안 인프라를 구축하게 됐다. NIST의 오는 2030년 기존 암호화 방식 비권장 전환 일정과 G7 Cyber Expert Group의 금융 부문 양자내성암호 전환 로드맵에 선제적으로 대응하는 성과이다.

토스페이먼츠 신용석 CISO는 “양자컴퓨팅 기술의 발전은 금융 보안에 있어 거대한 도전이자 기회”라며, “토스페이먼츠는 업계의 리더라는 막중한 책임감을 바탕으로, 가맹점과 소비자 모두가 안심하고 결제할 수 있는 ‘미래형 보안’ 기준을 구축해 나갈 것”이라고 말했다.

인증서 자동화 솔루션 'CertBear' 첫 레퍼런스 확보

흥국화재와 국내 미들웨어 전문기업 위베어소프트는 SSL/TLS 인증서 관리 자동화 솔루션 'CertBear' 도입을 위한 업무협약을 체결하고 금융권 첫 레퍼런스를 확보했다고 밝혔다.

CertBear는 흥국화재에 적용되어 이 달 말 정식 오픈될 예정이며, 금융권 최초 적용 사례를 확보하고 본격적인 시장 확대에 나설 계획이다.

위베어소프트는 흥국화재의 다양한 IT 인프라 환경에 CertBear 솔루션을 적용하고, 인증서 관리 자동화를 기반으로 한 안정적인 보안 운영 체계를 구축할 예정이다.

최근 CA/브라우저 포럼(CA/Browser Forum)의 정책 변화로 인증서 유효기간이 지속적으로 단축되면서 기업의 인증서 관리 부담은 빠르게 증가하고 있다. 올해 200일, 내년 100일, 오는 2029년 47일로 유효기간이 단계적으로 줄어들 예정이어서 대규모 시스템을 운영하는 금융권에서는 체계적인 자동화 관리의 필요성이 더욱 커지고 있다.

위베어소프트의 CertBear는 이러한 환경 변화에 대응하기 위해 개발된 인증서 관리 자동화 솔루션으로, 인증서 자동 수집과 모니터링, 사전 만료 알림, 자동 갱신 기능 등을 통해 기업이 인증서 운영 리스크를 효과적으로 관리할 수 있도록 지원한다.

금융권과 같이 보안 요구사항이 높은 환경에서도 안정적으로 운영될 수 있도록 설계된 점이 특징이다.

흥국화재 관계자는 "최근 인증서 관리 정책 변화와 보안 규제 강화에 대응하기 위해 보다 체계적인 관리 체계가 필요했다"며 "CertBear 도입을 통해 인증서 운영의 효율성을 높이고 서비스 안정성을 강화할 수 있을 것으로 기대한다"고 말했다.

공동 개발 파트너사인 비트윈소프트의 정영섭 대표는 "CertBear는 인증서 유효기간 단축이라는 글로벌 정책 변화에 대응하기 위해 양사가 함께 개발한 자동화 솔루션"이라며 "이번 흥국화재와의 협력을 계기로 금융권에서도 안정적인 인증서 관리 체계를 구축할 수 있는 의미 있는 레퍼런스를 확보하게 됐다"고 말했다.

인증서 보안·운영 안정성 동시 추구…시장 확대에 나서

장영휘 위베어소프트 대표는 "금융권은 인증서 보안과 운영 안정성이 중요한 분야"라고 밝히고 "다양한 산업군에서 인증서 자동화 솔루션에 대한 수요가 더욱 확대될 것으로 기대한다. 앞으로도 기업들이 인증서 관리 부담 없이 안정적인 서비스를 운영할 수 있도록 지속적으로 기술을 고도화해 나갈 것"이라고 말했다.

위베어소프트는 CertBear를 APINEX에 이어 두 번째 핵심 전략 솔루션으로 육성하며 금융·공공·대규모 서비스 기업을 중심으로 시장 확대에 나설 계획이다.

창업 초기부터 고성능 API 게이트웨이와 API 관리 플랫폼을 자체 기술로 개발해온 위베어소프트는 최근 다양한 글로벌 협력과 파트너십을 기반으로 해외 시장에서도 입지를 확대하고 있다.

한편 위베어소프트는 지난 2021년 티맥스소프트 출신 핵심 연구진이 설립한 미들웨어 전문기업으로, 과기정통부 데이터바우처 공급기업 선정, 중소벤처기업부 TIPS 과제 선정, KB스타터스 싱가포르 프로그램 참여 등 다양한 정부 및 민간 지원 프로그램을 통해 빠르게 성장한다. [시사캐스트]