밍키넷: 해외 성인 사이트와 국내 법적 이슈 밍키넷 최신주소 > 공지사항

서호진 금융보안원 보안연구부장


AI 해킹과 양자컴퓨팅 확산으로 금융보안 패러다임 전환이 시급하다는 경고가 나왔다. 글로벌 금융사는 자율보안 체계와 차세대 암호 전환을 서두르고 있지만, 국내 금융권은 여전히 망분리 규제에 의존하고 인력 투자도 제자리걸음을 하며 대응력이 뒤처지고 있다는 지적이다.
서호진 금융보안원 보안연구부장은 22일 서울 을지타워에서 열린 '제6차 싱귤래리티 금융 소사이어티(SFS)' 포럼에서 “국내 금융권은 지난 10여년간 망분리 규제에 의존해 내부망 공격 위협을 차단해 왔지만 현재 AI·데이터·블록체인·클라우드 활용이 확산되면서 대체 보안수단을 병행해야 하는 상황”이라고 진단했다.
특히 서 부장휴맥스 주식
은 SKT 해킹 사태 등 최근 국내에서 발생한 보안사고를 거론하며 “단 한 번 침해가 뱅크런·보험 해지·증권 해약 등 유동성 위기로 이어져 금융회사 파산까지도 초래할 수 있다”고 경고했다.
이어 그는 “해외 금융권은 금융회사가 자율적으로 보안체계를 수립·운영하는 구조”라며 “금융보안 패러다임 전환 과정에서 무엇보다 금융회사의 자체 보안역량릴게임임대
강화가 필수”라고 짚었다.
실제 JP모건, HSBC 등 150여 개 글로벌 금융회사가 참여해 자율보안 수준을 진단하는 프레임워크를 개발하고, 이를 토대로 각사 스스로 위험을 점검하고 취약점을 보완하고 있다. 금융보안원도 국내 금융 환경에 맞는 자율보안 프레임워크를 이달 말 발표할 계획이다.
양자컴퓨의 발전에 따른 보안 최고주식
위험도 강조됐다. 양자컴퓨터가 본격적으로 상용화되면 기존 RSA(공개키 암호 체계)와 같은 고전암호는 손쉽게 무력화될 수 있어서다.
서 부장은 “IC카드나 온라인 금융거래 등 일상 서비스 전반에 암호 기술이 내재돼 있는데, 양자컴퓨팅이 본격화되면 이러한 금융 암호화 체계가 무너질 수 있다”며 “블록체인 역시 암호기술 기반이기 때문에 현행 바다이야기 모바일게임
시스템이 깨질 수 있는 위험에 대비해야 한다”고 지적했다.
앞서 국제결제은행(BIS)도 이 시점을 'Q-Day'로 명명하며, 양자 기술이 금융보안의 패러다임을 송두리째 바꿀 수 있다고 경고한 바 있다.
서 부장은 “AI가 이미 해킹 도구를 자동으로 만들어 내는 수준에 도달했듯, 양자컴퓨팅이 상용화되는 순간 전 세계 금융 KODEX에너지화학 주식
인프라가 동시에 위협받을 수 있다”며 “양자암호로 전환이 필요하지만 막대한 시간과 비용이 수반되기 때문에, 기존 인프라 활용이 가능한 양자내성암호전환이 보다 효율적”이라고 강조했다.
이어 그는 “양자내성암호 도입을 위해서는 업무 분석과 검증, 테스트 등 상당한 기간이 소요되는 만큼, 사전에 로드맵을 마련해 선제적으로 대비해야 한다”고 덧붙였다.
실제 글로벌 금융사는 발 빠르게 대응에 나서고 있다. JP모건은 지난 3월 세계 최초로 상용 양자컴퓨팅 애플리케이션을 발표하며 시장을 선도하고 있다.
기조 발제 이후 이어진 제6차 싱귤래리티 금융 소사이어티(SFS) 토론 세션에서는 조윤제 연세대 경제대학원 특임교수를 좌장으로 금융보안과 인력·규제 혁신 방안이 집중 논의됐다.
이효섭 자본시장연구원 선임연구위원은 “금융권 IT·보안 인력 문제는 2020년 '557 제도'가 폐지된 이후 인력 투자가 늘지 않고 제자리걸음을 하고 있다”며 “보안 인력에 대한 보수가 워낙 낮아 화이트해커를 영입할 유인조차 없는 상황”이라고 지적했다.
이어 이 연구위원은 “감독기관과 보안 거버넌스에서 한국인터넷진흥원(KISA)과 금융감독원의 역할과 책임을 어떻게 나눌지가 주요 과제로 떠올랐다”고 덧붙였다.
557규정은 전체 인력 5%는 IT인력, IT인력 5%는 정보보호 인력, 전체 IT 예산 가운데 7%는 정보보호 예산으로 배정하라는 규정이다. 2011년 4월 농협 전산망 마비 사태 이후 도입됐다가 일몰제로 2020년 폐지됐다.
서 부장은 “대형사에선 인력이 많아 557규제를 소화할 수 있지만, 중소 금융회사는 수백 명 단위 조직에 보안 담당자 1명에 의존하는 실정”이라며 “보안 인력을 단순 양성할 게 아니라 국가적 차원으로 체계적 인재 육성이 필요하다”고 말했다.
다만 과도한 인력 규제가 오히려 금융권 디지털 경쟁력을 떨어뜨릴 수 있다는 우려도 제기됐다. 윤종규 KB금융그룹 고문은 “인력 규제가 늘어날수록 기존 인력은 기득권화하고 기술 발전을 따라가지 못해 오히려 역효과가 난다”며 “형식적 인원 확대보다 디지털 전환에 맞는 전문 인력 양성이 더 중요하다”고 강조했다.
기본적인 보안 원칙의 중요성도 강조됐다. 김철웅 신한은행 상임감사위원은 “최근 금융권 보안사고 본질이 첨단 해킹기법이 아니라 가장 기본적인 보안 원칙을 지키지 않은 데 있다”고 지적했다. 이어 김 위원은 “최근 서울보증보험·롯데카드 해킹 사고를 보면 웹쉘 관리자 비밀번호를 초기값으로 두거나 보안 패치를 제때 적용하지 않아 해커들이 손쉽게 침투할 수 있었다”며 “보안 고도화 기술도 필요하지만 무엇보다 절차를 철저히 준수하는 '사이버 위생'이 우선”이라고 강조했다.
보안 강화를 위해 자율규제 필요성도 강조됐다. 신관호 고려대 경제학과 교수는 “문제가 생기면 정부가 나서서 다시는 사고가 발생하지 않도록 사전적 규제를 만들지만, 이는 시간이 지나면서 금융권의 자율적 발전을 가로막는 가장 큰 걸림돌이 된다”면서 “보안은 정부가 미리 모든 것을 통제하기보다 민간이 스스로 강화해 나가야 한다”고 강조했다.
사고가 발생하면 정부가 과도하게 개입하기보다는 피해 규모에 비례해 금융회사가 보상 책임을 지도록 하면, 결국 보상을 피하려는 압력이 금융기관들의 보안 강화를 이끌어낼 것이라는 설명이다.
정부 차원 보안 기준 마련 필요성도 제기 됐다. 김형년 두나무 부회장은 “무엇보다 중요한 것은 사고 발생 시 고객이 실제로 어떤 손해를 입었는지를 측정하는 것”이라면서 “개인정보 유출 사례처럼 유출은 확인됐지만 즉각적인 2차 피해가 발생하지 않았다는 이유로 대응이 미뤄지는 일이 반복된다”고 짚었다.
이어 김 부회장은 “국가 차원에서 측정 가능한 기준을 명확히 정해두면 사고가 발생했을 때 즉시 조치하고 보상하는 프로세스가 자동으로 가동될 것”이라면서 “금융회사가 생존의 문제로 받아들이게 되면 보안 투자는 자연히 따라올 것”이라고 덧붙였다.
손병두 토스인사이트 대표는 “정부가 자율보안과 결과 책임 원칙으로 가려는 방향은 동의하지만, 실제 사고 발생 시 책임 주체가 감당할 수 없는 수준의 위험이 존재한다는 점이 문제”라며 “특히 보안 위협은 예측 불가능성이 크기 때문에, 사회적 파장이 큰 사고가 터지면 결국 국민 정서에 맞춰 과도한 책임을 묻게 되고, 이는 오히려 위축 효과를 낳아 아무것도 못 하게 되는 상황으로 이어질 수 있다”고 우려했다.
이어 손 대표는 “망분리를 푼다 하더라도 결과 책임만 일방적으로 지운다면 실효성 있는 변화는 없을 것”이라며 “위험 수준별 책임 분담, 최소한의 관리·주의 의무 이행 시 면책, 개인이 아닌 기관 차원의 책임 구조 마련 등이 병행돼야 한다”고 제언했다.
책임 구조와 제도적 규제 충돌 문제도 도마에 올랐다. 윤 고문은 “최고정보보호책임자(CISO)를 최고 책임자로 두는 것이 원칙적으로 맞지만, 현실적으로는 과도한 책임이 집중되면 면피성 의사결정으로 흐를 수밖에 없다”면서 “CISO를 최고정보책임자(CIO)와 분리하되, 실무에서는 유기적으로 협력할 수 있는 균형 잡힌 구조가 필요하다”고 말했다.
이어 윤 고문은 “인터넷망과 블록체인망을 논리적으로 분리해 샌드박스 형태로 실험하고 검증하는 절차를 거친다면, 굳이 모든 것을 물리적 망에 묶어둘 필요는 없다”면서 “다만 논리적 망분리로 전환할 때도 단순히 면책성 규제에 그치지 않고, 실질적인 책임 구조를 어떻게 설계할지가 중요하다”고 지적했다.
윤종원 KDI 초빙연구위원은 국내 금융권의 보안 혁신이 제도적 규제와 충돌하는 현실을 지적했다. 그는 “우리나라에는 세계적으로 인정받는 동형암호 등 선도적인 암호화 기술이 있지만, 금융기관이 이를 도입하려 해도 국정원 등 규제기관의 승인이 지연되는 경우가 있다”며 “금융보안원이 국정원과의 협업을 통해 이런 불합리한 장벽을 해소할 필요가 있다”고 짚었다.



싱글래리티 금융 소사이어티 포럼이 22일 서울 중구 더존을지타워에서 열렸다. 왼쪽부터 시계방향으로 유재수 간사, 김철웅 신한은행 상임감사위원, 윤종규 KB금융그룹 고문, 윤종원 KDI 초빙연구위원, 안수현 한국외국어대 법학전문대학원 교수, 신관호 고려대 교수,이효섭 자본시장연구원 선임연구위원, 서호진 금융보안원 보안연구부장, 조윤제 연세대 경제대학원 특임교수(좌장), 이남우 연세대 교수, 손병두 토스인사이트 대표, 류정혜 과실연 AI 미래포럼 공동의장, 김형년 두나무 부회장. 박지호기자 jihopress@etnews.com


박유민 기자 newmin@etnews.com