“보안 접근보다 IT거버넌스로 접근” 지적도

최근 금융권 IT장애 및 해킹 사건이 빈번한 가운데 물리적 접근제어를 위한 생체인식 보안이 새삼 주목받고 있다.

특히 농협이 보안에 총 5000억원을 투자하겠다고 밝히면서 생체인식을 언급한 데 대해 업계는 주목하고 있다.

아울러 금융위원회가 최근 실시중인 ‘금융권 보안 특별점검’ 과정에서 몇몇 은행을 대상으로 생체인식 솔루션 도입을 권고함에 따라 본격적인 시장 활성화가 예상된다.

다만 금융감독원 권한용 부국장은 “노트북에 생체인식 장치를 의무화한다는 식의 특정 매체 또는 특정 기술을 지정해 사용하도록 권고를 한 것은 아닐 것”이라며 “은행에서 사용 중인 단말기 전체에 대한 적절한 통제가 필요하다는 원칙적인 입장을 ‘생체인식’ 예를 들어 설명했을 것”이라고 밝혔다.

권 부국장은 “이달말 금융권의 보안점검이 완료되는 대로 제도개선을 통해 이같은 내용을 포함한 금융IT 보안 방안이 만들어 질 것”이라고 밝혔다.

◆A은행 생체인식 적극 활용 중 = 서울에 전산센터를 운영 중인 A은행의 경우, 전산센터 전 직원에게 수년전부터 생체인식을 활용한 접근제어를 시행중이다.

A은행은 단말에 접근하는 매체, 즉 마우스에 지문인식을 장치하고 본인인증을 거치고 있다.

따라서 전산센터 직원들은 PC를 켜기 위해 ▲ID, 패스워드 ▲PKI 인증 ▲지문인증 등 총 3단계 보안절차를 거쳐야 비로소 업무에 들어갈 수 있다.

이 세 가지 인증을 거치면 업무서버 앞단에 위치한 매칭엔진을 탑재한 ‘통합계정권한관리시스템’을 통해 업무서버 접근 인증이 완료된다.

A은행은 서버실 보안에도 생체인식을 적극 활용중이다.

출입부터 내 맘대로 되는게 없다. 외주업체 직원은 서버실 출입을 사전에 담당부서 직원에게 허락을 받아야 하고, 은행 직원은 이 내용을 날짜, 시간, 출입자 신분 등을 출입통제시스템에 사전 등록해야 한다.

외주업체 직원은 A은행 직원이 1층 출입구로 나와 직접 동행해야 서버실 입구까지 들어갈 수 있다.

이렇게 들어간 서버실 입구에는 각 서버실 특성에 따라 ▲정맥인식 ▲지문인식 ▲홍체 등 각종 생체인식 인증을 거쳐야 한다. 물론 ID, 패스워드 등 인증작업도 병행된다.

서버 앞에 간 A은행 직원과 외주업체 직원은 또 하나의 관문을 통과해야 한다.

이 은행 메인서버 등 주요 서버 앞 단말기는 고정돼 있다. 즉 노트북처럼 이동성이 없다.

이 서버시스템을 변경하려면 고정된 단말기에 마우스 지문인증, 공인인증서 인증, ID/패스워드 인증을 등을 거쳐야 한다. 경우에 따라 홍체인증도 거친다고 A은행 관계자는 밝혔다.

정리하면, A은행은 업무서버 접근과 서버 직접 접근을 외주업체가 할 수 없도록 물리적 보안을 갖춰놓고 있는 것이다.

특히 A은행은 이같은 보안정책 운용을 위해 ‘통합계정권한관리시스템’, ‘RACF(자원접근관리, Resource Access Control Facility) 인증서비스’ 등 인프라를 갖췄다.

A은행 관계자는 “사실 이같은 인증시스템은 은행권이 대부분 갖춰 놓고 있을 것”이라며 “현대캐피탈, 농협의 IT 장애 사례는 IT거버넌스 측면에서 해석해야 할 문제이지, 보안솔루션 문제는 아니다”며 업계의 최근 보안중심 정책 확산에 일침을 가했다.

<김동기 기자>kdk@bikorea.net