제도개선, 현행 규정 준수 강화 등 포괄적 접근나서

오는 6월, 범 금융권 IT보안정책 도출이 예상되는 가운데, 향후 제도 개선의 한 축과 더불어 이제는 더 이상 규정을 지키지 않을 경우 제재도 강화될 전망이다.

지난 2011년 전자금융 감독규정 개정 등 노력에도 불구하고, 그 효과가 미미한데서 이같은 방향이 검토 중인 것으로 보인다.

<BI코리아>는 지난 4월 꾸려진 ‘금융전산 보안 TF’의 4월 30일 1차 회의 내용을 분석해 향후 보안대책의 향방을 가늠해 봤다.

다만, 이번 회의에 참석한 금융결제원과 코스콤의 의견은 범 금융권 내용과 다소 거리를 두고 있어, 금융위 정책 방향과 금융감독원 보안대응책만 분석했다.

◆금융위, ‘오는 6월 이후 전자금융거래법 개정’ 추진 = 금융위는 지난 3.20 전산 대란 관련, 학계 및 민간 등 IT보안분야 전문가들로 구성된 ‘금융전산 보안 TF’를 마련했다.

이 TF팀장은 금융위 사무처장이 맡고, 금융IT 보안 제도개선반, 점검대응반 2개반에 덧붙여 IT자문단을 추가해 구성했다.

TF위원으로는 금융위 이병래 금융서비스 국장, 금감원 김수봉 부원장보, 금융결제원 김형석 전무, 코스콤 신성환 본부장 등이 참여한다.

실제 업무를 담당하는 제도개선반장은 현 금융위 전자금융과 전용섭 과장이, 점검대응반은 금감원 송현 IT감독국장이 맡고 TF 자문단에는 교수진과 업계 등이 참여하는 모델이다.

‘금융전산 보안 TF’는 우선, 이달까지 금융IT 보안 실태점검을 마친다는 계획이다.

현재 금융위는 지난 3.20 대란 관련, 농협은 단말기 4만 4000여대 중 2만 6693대, ATM기 3만 2072대 중 1만 6121대가 작동 불능 상태에 놓였다고 파악했다.

신한은행의 경우, 악성코드에 감염된 PC 169대외에 전산센터(일산) DB서버가 장애를 일으켜 인터넷뱅킹과 영업점 거래가 중단된 것으로 피해현황을 집계해 놨다.

‘TF’는 이같이 파악된 정보를 중심으로 ▲금융IT 인프라 보안강화 ▲금융IT 보안인력 및 조직역량 강화 ▲금융사 위기대응 체계 개선 ▲금융IT 검사 및 내실 강화 등 대책을 마련, 추진할 예정이다.

금융IT 보안 인프라 강화 관련, TF는 전산망 내외부 분리, 백신관리 서버 외부 연계방안, 그룹웨어 및 이메일 등 비금융시스템 보안강화, 내부통제 강화, 취약점 분석·평가 항목 재검토 등에 나설 예정이다.

TF는 CISO 지정요건을 검토 마련하고, 보안교육 강화, 산한연계 우수인력 확보(인센티브 부여), 보안전담조직 의무화 등 인력 및 조직역량을 강화한다.

금융IT 백업체계 재검토 즉, 백업 전환시점 판단 기준, 기술설비 요건 등을 다시 마련하고, 금융전산 위기대응 매뉴얼도 대폭 손질한다.

현재 금융위가 금융감독원에 위탁해 운영중인 IT실태평가를 개선하고(실태평가 실시 금융사 확대 등), 우수기관의 경우 홈페이지 공시 및 표창 등을 수행할 예정이다.

‘금융전산 보안 TF’는 지난 4월 30일 이후, 각 반에서 검토한 내용을 중심으로 오는 5월 23일 2차 회의를 가질 예정이다.

◆금감원, ‘금융사이버 안전센터’ 구축 = 금융감독원은 지난 3.20 대란 관련, 제도개선과 현행 규정 준수 강화 대책으로 나눠 정책을 마련한다.

우선, 금감원은 금융회사 사이버 공격에 대해 상시감시체계 가칭 ‘금융사이버 안전센터’를 구축할 예정이다.

이같은 조치는 현재 금융ISAC이 금융회사에 대한 악성코드 정보, 서버 및 단말기 취약점 등에 대한 정보공유가 제대로 이뤄지지 않고 있다는 문제점 해소를 위한 조치다.

아울러 금융회사의 보안관제 대상을 공개용 웹서버 및 내부 업무서버로 확대 적용한다는 계획이다.

다만, 내부 업무서버가 외부 관제 대상이 될 경우 나타날 문제점 등은 추가 보강한다는 게 금감원의 판단이다.

금융감독원은 이어 ‘위기대응체계 개선’에 적극 나설 예정이다.

3.20 대란 이후 전산망 복구에 상당한 시간이 소요됐다는 점에 착안한 이 정책은, 연 1회 이상의 재해복구훈련을 ‘인터넷뱅킹 등 주요 전자금융서비스에 대해 월 1회 이상 시스템 전환 등’을 강화하는 내용이 골자다.

덧붙여 단말기 복구 매뉴얼 및 복구CD 배포 등을 통한 신속한 복구체계 마련도 포함될 예정이다.

악성코드 침입경로에 대한 통제도 강화된다.

PC 등 단말기에 대한 망분리·USB포트 봉인, 취약점 점검 실시 등을 통해 침입경로에 대한 강력한 차단정책을 실시할 예정이다.

금융감독원은 현행 규정 준수강화를 위해 총 6개 대응책을 마련했다.

그 하나로, 공개용 웹서버에 대한 취약점 점검 등을 강화한다.

그동안 금융회사는 외부 전문업체를 통해 특정서버만 반복적으로 점검, 점검하지 않은 서버에 대한 보안취약점(SQL 인젝션 등)이 발견되고 있다.

금감원은 소위 DMZ 구간에 위치한 서버에 대한 점검 프로그램을 다양하화고, 보안취약점 조치완료 여부 확인 절차 등을 개선하도록 금융회사에 권고할 예정이다.

두 번째로 ‘공개용 웹서버 관리자에 대한 추가 인증수단’을 적용할 예정이다.

과거 금융회사는 웹서버 관리자 계정을 추가 인증없이 ID와 패스워드로만 관리하고, 인증 후 접속을 허용해 왔다.

금융감독원은 공개용 웹서버에 대해 관리가 계정으로 접속하는 경우, 반드시 공인인증서 등 추가 인증수단을 적용토록 감독을 강화한다.

세 번째 정책은 여기에 덧붙여 ‘공개용 웹서버 로그 관리’ 강화 내용을 담고 있다.

즉, 웹서버 로그에 주민등록번호 등 개인정보 평문 저장은 금지 및 이미 저장된 개인정보는 삭제 또는 암호화 조치한다는 게 금감원 판단이다.

비밀번호 관리도 강화된다. 금융회사는 서버 및 사용자 계정의 비밀번호를 암호화하지 않고 평문으로 저장하거나, 보안상 취약한 비밀번호 설정, 비밀번호 변경주기 및 오류회수를 미설정 하는 등 문제점을 노출했다.

금융감독원은 비밀번호는 8자리 이상으로 설정하고, 정보시스템 사용자 비밀번호를 암호화해 관리하는 등 보안강화를 조치할 예정이다.

다섯 번째로 고객정보 접근권한 관리도 강화된다.

고객정보 조회화면을 담당업무별로 세분화하고, 고객정보 관리 업무와 관련이 있는 직원에게만 접근권한을 부여, 인사이동 및 업무변경시 즉시 회수 조치하는 방안이다.

마지막으로, 정보보호 인력의 직무분리 강화 등 방안이 추진된다. 현행 금융회사는 정보보호 인력이 다른 IT업무(서버운영 개발 등)를 겸하는 경우가 많아, 개발일정 준수를 위한 보안점검을 소홀히 하는 경우가 있다.

이를 방지하기 위해 금융감독원은 정보보호 기술인력과 정보보호 인력에 대한 명확한 직무붆리 조치를 취할 예정이다.

‘금융전산 보안 TF’는 이같이 마련된 추진방향을 골자로, 6월 중 ‘금융IT 보안강화 및 사고 재발방지 대책’을 마련할 예정이다.

그 이후 전자금융감독규정 및 전자금융거래법 개정을 위한 입법 등에 나설 것이라고 금융위는 덧붙였다.

<김동기 기자>kdk@bikorea.net