금융감독원 (사진=이코노미사이언스DB)
| 이코노미사이언스 박성현 기자 |
설치형 보안 소프트웨어 퇴출을 골자로 한 정부의 정보보호 정책이 금융권 보안 체계 전환 흐름으로 읽히고 있다. 인터넷·모바일 금융 서비스 이용 과정에서 반복돼 온 보안 프로그램 설치 의무에 대한 불편을 줄이겠다는 취지다. 정책 방향이 제시됐으나, 금융권의 대응은 아직 초기 단계에 머물러 있어 제도와 현장 사이의 간격이 이어지는 모습이다.
정부는 범부처 정보보호 종합대책을 통해 금융·공공기관이 이용자 단말기에 요구해 온 보안 소프트웨어를 단계적으로 제한하고, 다중인증(MFA)과 이상거래탐지(FDS), 인공지능(AI) 기반 보안 체계로 전환하겠다는 방향을 제시했다. 보안의 중심을 사용자 단말에서 금융사 서버와 네트워크로 옮기는 구조다. MFA는 여러 인증 수단을 결합해 보안 강도를 높이는 방식이며, FDS는 거래 패턴을 분석해 이상 거래를 실시간으로 탐지·차단하는 시스템이다. 이러한 변화는 보안이 개별 프로그램 설치 중심에서 데이터와 네트워크 기반 인프라 경쟁으로 재편되는 흐름으로 이어지고 있다.
이러한 기술 전환은 실제 금융사 보안 운영 방식에도 반영되고 있다.
금융권 내부에서는 이러한 변화 방향에 대한 공감대가 형성되고 있다. 우리금융그룹은 기존 단말 중심 보안 구조에서 벗어나 Zero Trust 기반의 서버·네트워크 중심 보안 체계로 전환을 추진하고 있으며, AI 기반 이상행위 탐지와 통합보안관제 체계를 통해 실시간 대응 역량을 강화하고 있다고 설명했다. 정보보호 투자도 IT 투자 대비 12.3% 수준으로 확대하며 대응 기반을 강화하고 있다. Zero Trust는 접속 주체를 기본적으로 신뢰하지 않고 지속적으로 검증하는 보안 모델로, 서버 중심 보안 체계의 핵심 개념으로 꼽힌다.
KB금융은 그룹 단위 사이버보안센터를 중심으로 레드팀과 블루팀 체계를 운영하며 공격과 방어를 동시에 검증하는 구조를 갖추고 있다. 계열사별로 분산된 보안 대응을 하나의 체계로 연결해 위협 탐지와 대응 속도를 높이는 방식이다. 실제 공격 상황을 가정한 검증을 반복하는 실전형 보안 체계를 강조하고 있다.
금융지주 간 대응 속도에는 차이도 나타난다. 일부 금융사에서는 정책 방향에는 공감하면서도 구체적인 적용 방식과 시기에 대한 논의가 진행 중이라는 입장을 보였다. 기존 이상거래탐지 시스템(FDS)을 중심으로 운영을 이어가는 사례도 있어 전환 과정은 단계적으로 진행될 가능성이 높다.
금융당국 역시 정책 방향에는 공감하면서도 구체적인 시행 시기나 세부 기준은 확정하지 않은 상태다. 보안 수준을 평가해 공개하는 ‘보안 등급 공시’ 제도는 금융사 경영에 영향을 줄 수 있는 요소로 꼽히지만, 현재는 금융권 의견을 수렴하는 단계다.
소비자 측면에서는 변화에 대한 기대도 존재한다. 금융 서비스 이용 과정에서 여러 보안 프로그램 설치를 요구받으면서 접속 지연이나 오류를 경험하는 사례가 이어져 왔기 때문이다. 설치형 보안이 줄어들 경우 이용 편의성은 개선될 가능성이 있다.
보안 구조 전환은 새로운 과제를 함께 수반한다. 보안 책임이 금융사로 이동하는 흐름 속에서 사고 발생 시 책임 범위와 보상 기준에 대한 논의가 확대될 가능성이 있다. 금융사들은 사고 발생 시 법령과 사실관계를 기준으로 판단한다는 원칙을 유지하고 있어 구체적인 기준은 추가 정리가 필요한 상황이다. 한 금융권 보안 담당자는 “서버 중심 보안 전환은 기술 도입보다 운영 체계와 책임 구조 재정립이 더 큰 과제”라며 “사고 대응 기준까지 함께 정비돼야 한다”고 말했다.
핀테크 플랫폼은 이미 서버 중심 보안 구조를 기반으로 서비스를 운영하고 있다. 네이버페이는 결제 데이터를 활용한 이상거래탐지 시스템을 통해 의심 거래를 즉시 차단하고 사용자에게 알림을 제공하는 방식으로 대응하고 있고, 보상은 약관 기준에 따라 이뤄진다고 설명했다. 이어 서비스 규모 확대에 맞춰 보안 투자도 지속적으로 강화하고 있다는 입장이다.
이번 정책은 보안 부담을 사용자 단말에서 금융사로 이동시키는 방향으로 읽힌다. 보안 체계의 중심이 서버와 네트워크로 재편되면서 금융권 내부의 투자 구조와 운영 방식에도 변화가 이어질 것으로 보인다. 제도 설계와 책임 기준이 구체화되는 과정에서 경쟁 구도 역시 보안 역량과 운영 체계 수준에 따라 재편될 가능성이 있다.
아주쉽다
댓글
0