[이혁중 CISO 보안칼럼] N2SF의 성공적 금융권 착륙, '데이터 정의'의 딜...

이혁중 신한EZ손해보험 CISO

국가정보원을 필두로 추진한 ‘국가사이버안보프레임워크(N2SF, National Cyber Security Framework)’는 기존의 일률적인 네트워크 차단을 넘어 데이터의 중요도와 등급에 따라 유연한 보안 통제를 적용하는 진일보한 패러다임을 제시하고 있다.

금융권에 발을 들여놓은 지 얼마 안 되지만 현장의 공기를 호흡해 본 CISO의 시각에는 적용에 낙관적이지 않다. N2SF라는 거대한 청사진이 금융 산업이라는 특수한 환경에 착륙하기 위해서는, 단순히 보안 기술이나 프레임워크의 도입을 넘어 우리를 둘러싼 법적 정의와 책임 소재의 모순부터 해결해야 하기 때문이다.

금융권

망분리의

역사와

패러다임의

변화

대한민국 금융권의 물리적 망분리는 2011년 농협 전산망 마비 사태와 2013년 3·20 사이버 테러 등 초대형 보안 사고를 겪으며 금융당국이 내놓은 초강수 처방이었다. 내부 업무망과 외부 인터넷망을 완전히 단절시키는 이 정책은 헛점도 지적되었지만 외부 해킹 세력의 침투 경로를 원천 차단한다는 점에서 지난 10여 년간 금융 생태계를 안전하게 방어하는 데 혁혁한 공을 세웠다는 점은 부인 못할 것이다.

그러나 초기 인터넷 뱅킹처럼 혁신의 속도가 보안의 장벽을 뛰어넘기 시작했다. 글로벌 금융사들이 SaaS형 업무 도구와 생성형 AI를 결합해 생산성을 극대화하는 동안, 국내 금융사들은 인터넷망에 연결할 수 없다는 이유로 이러한 혁신 도구들을 바라만 보아야 했다. 망분리가 금융 혁신의 가장 큰 걸림돌이라는 지적이 빗발치자, 정부와 정부기관은 데이터 중심의 자율 보안 체계인 N2SF 체계로의 전환을 선언했다.

국정원이 발표한 가이드라인의 핵심은 명확하다. 네트워크 획일화(All or Nothing)에서 벗어나, 데이터가 가진 가치와 리스크의 크기에 따라 등급을 분류하고(예: 업무 기밀, 공개 정보 등), 이에 맞춰 보안 통제의 강도를 차등 적용하겠다는 것이다. 이는 데이터의 중요도 분류가 선행되어야만 비로소 유연한 SaaS 활용이나 클라우드 도입이 가능하다는 뜻이기도 하다.

‘

결합

용이성

’

의

덫

:

금융권

정보는

왜

모두

개인정보가

되는가

?

N2SF가 금융권에서 제대로 작동하기 힘든 첫 번째 장벽은 역설적이게도 ‘개인정보보호법’의 비대화된 해석에 있다. 현행법상 개인정보는 주민등록번호나 성명 같은 ‘고유식별정보’에 국한되지 않는다. 법령에 명시된 “

다른

정보와

쉽게

결합하여

특정

개인을

알아볼

수

있는

정보

”라는 정의는 실무 현장에서 거대한 블랙홀로 작용한다.

여기서 ‘손쉽게 결합할 수 있는가’에 대한 기준은 지극히 모호하며, 법정에서도 매번 격렬한 공방이 벌어지는 단골 주제다. 문제는 고도화된 데이터 정제 기술과 금융 거래 데이터의 특성이 만날 때 발생한다. 금융권에서 다루는 행동 패턴, 신용 정보, 가맹점 이용 내역 등은 단독으로는 개인을 식별할 수 없을지 몰라도, 가용한 외부 데이터와 결합하는 순간 식별성이 급격히 상승한다.

결국 이 모호한 해석 탓에 금융권이 보유한 데이터는 보수적으로 접근했을 때 ‘거의 모든 정보가 곧 개인정보’라는 결론에 도달한다. N2SF에서 말하는 하위 등급의 정보, 즉 외부에 과감하게 개방하거나 저보안 지대(SaaS 등)에서 처리해도 되는 ‘C(Classified)·S(Secret)·O(Open)’ 중 ‘O(Open)’에 해당할 만한 순수한 로데이터(Raw Data)를 금융권에서 찾아 내기란 모래사장에서 바늘 찾기보다 어렵다.

책임은

현장의

몫

,

누가

과감한

분류의

총대를

멜

것인가

두 번째 장벽은 ‘책임의 비대칭성’이다. N2SF의 이상향대로 데이터를 분류하여 외부 클라우드나 SaaS를 활용하다가 만에 하나 데이터 유출 사고가 발생한다면, 그 책임은 누가 지는가?

최근 L카드사의 개인정보 유출 사고 이후 CISO(정보보호최고책임자) 및 CPO(개인정보보호책임자) 및 보안 담당자들에게 내려진다고 하는 전방위적 제재를 목격한 보안 현장은 극도의 냉각기에 접어들었다. 규제 완화라는 정책적 구호와 달리, 사고 발생 시 내려지는 칼날은 여전히 서슬 퍼런 ‘결과론적 처벌’에 머물러 있기 때문이다.

이러한 상황에서 과연 어떤 금융사의 CISO나 보안 담당자가 자율적 데이터 분류라는 명목 하에 “이 정보는 중요도가 낮으니 외부 SaaS에 연동해도 된다”며 승인 도장을 찍을 수 있겠는가? 아무리 실무적으로 정교하게 분류 체계를 마련한다 한들, 사후 감사나 수사 과정에서 ‘결합 용이성’을 근거로 개인정보 유출로 규정되는 순간 담당자는 사법적·인사적 파멸을 맞이하게 된다. 결국 현장의 CISO들은 자율성이라는 이름의 덫에 걸리지 않기 위해, 모든 데이터를 최고 등급인 ‘S(Secret)’나 ‘C(Classified)’로 분류하는 방어적 스탠스를 취할 수밖에 없다. 이 경우 N2SF가 가져다 줄 효용성은 제로(Zero)에 수렴하게 될것이다.

결론

:

법적

시간적

인력적

토양이

먼저

다져져야

한다

국가사이버안보프레임워크(N2SF)로의 패러다임 전환은 대한민국 금융 산업의 IT 경쟁력 제고를 위해 반드시 가야 할 길임은 분명하다. 그러나 명확한 토양 없이 씨앗만 뿌린다면 혁신이라는 열매 대신 현장의 혼란과 보안 공백이라는 부작용만 낳을 것이다.

N2SF가 실질적인 금융 산업의 마중물이 되기 위해서는 기작성된 기술적인 토대에 다음과 같은 선결 과제에 대한 충분한 사회적·제도적 합의가 선행되어야 한다.

첫째,

법적

모호성의

제거

다. 금융 데이터에 한해서라도 ‘결합 용이성’에 대한 구체적이고 예측 가능한 가이드라인이 명문화되어야 한다. 어디까지 개인정보이고 무엇이 아닌지에 대한 경계가 명확해야 CISO들이 합리적인 데이터 분류 플랜을 수립할 수 있다. 시대에 따라 환경에 따라 개인정보에 대한 정의가 달라진다면 프로세스 및 대규모 IT시스템으로 구축되는 환경에서 어떻게 빠르게 대응하겠는가?

둘째,

책임

소명

제도의

확립

이다. 단순 교과서적인 차원이 아닌

실무입장의

상식적인

선에서

고의나 중과실이 없고, 국가가 제시한 가이드라인과 사내 프로세스에 따라 충실히 데이터 분류 및 보안 통제를 수행했다면, 면책권을 부여하거나 제재를 감경해 주는 ‘정당한 실사’ 제도가 안착되어야 한다.

셋째,

시간적

인력적

자원의

현실화

다. 방대한 금융 시스템 속에서 수천만 건의 데이터 속성을 분류하고 매핑하는 작업은 몇 달 만에 뚝딱 해낼 수 있는 태스크가 아니다. 금융사들이 충분한 컨설팅과 시뮬레이션을 거칠 수 있는 유예 기간을 부여하고, 전문 인력을 양성할 수 있는 인프라 지원이 동반되어야 한다.

필자가 27년전 보안에 처음 입문해서 한 작업이 위험 분석이었고 제일 어려웠던 작업이 “자산분석 중 자산중요도” 분류였다.

망분리

완화와

N2SF

도입은

단순히

보안

시스템의

교체가

아니라

금융

비즈니스의

체질을

바꾸는

대수술이다

. 수술 성공의 열쇠는 메스의 날카로움이 아니라, 환자의 기초 체력과 수술실의 환경에 있다.

이론이

아닌

현장에서

일하는

보안

전문가들의

묵직한

고민과

현실적인

한계를

경청하고

,

이를

보듬는

정교한

제도적

보완책이

마련된

후

에야

비로소

N2SF

는

금융

혁신의

진정한

날개가

될

수

있을

것이다

.

[글. 이혁중 신한EZ손해보험 CISO / 문의: cool0305@gmail.com]