[더팩트ㅣ이선영 기자] 금융권에서 해킹 사고가 잇따르면서 보안 관리체계를 손봐야 한다는 목소리가 커지고 있다. 보안 인력과 장비를 늘리는 데 그치지 않고, 발견한 취약점을 실제로 개선할 수 있는 체계를 갖춰야 한다는 지적이다. 보안 부서가 문제를 찾아도 전산 부서가 수정을 미루면 실질적인 개선으로 이어지기 어려운 만큼 최고경영자(CEO)가 부서 간 책임과 의사결정을 조율해야 한다는 것이다.
23일 금융권에 따르면 최근 은행권 해킹 사고 이후 금융당국은 금융회사의 정보보호 관리체계와 내부 보고체계 전반에 대한 점검에 나섰다. 보안 취약점의 발견부터 개선, 사고 대응까지 각 단계에서 책임 소재를 명확히 하는 것이 주요 과제로 떠올랐다.
금융회사에 정보보호 전담 책임자가 배치돼 있더라도 실제 보안 강화로 이어지는지는 별개의 문제라는 지적이 나온다.
국회 재정경제기획위원회 소속 강민국 국민의힘 의원이 금융감독원에서 제출받은 자료에 따르면 올해 6월 말 기준 은행·저축은행·보험·카드·증권·자산운용 등 7개 금융업권의 정보보호최고책임자(CISO) 92명 가운데 전임자는 68명(73.9%)이었다.
은행권은 CISO 20명 가운데 18명(90%)이 전임으로, 전체 금융업권 평균보다 높은 수준을 보였다. 그러나 정보보호 전담 책임자의 존재만으로 보안 취약점의 신속한 개선까지 보장되는 것은 아니라는 지적이다.
김용대 KAIST 전기및전자공학부 교수 겸 과학치안연구센터장은 <더팩트>에 금융회사 내부의 역할 분담이 보안 취약점 개선을 늦추는 원인으로 작용할 수 있다고 지적했다.
김 교수는 "보안 책임자가 문제를 찾고, 실제로 고치는 건 전산 조직"이라며 "그런데 고치려면 서비스를 멈춰야 하고, 멈췄다 장애가 나면 전산 조직이 책임진다"고 설명했다.
보안 부서가 취약점을 발견해도 실제 시스템을 수정하는 일은 전산·개발 부서의 몫인 경우가 많다. 이 과정에서 서비스 중단이나 장애 발생에 따른 부담이 커지면 취약점 개선이 뒤로 밀릴 수 있다는 설명이다.
특히 보안 취약점 개선을 둘러싼 부서 간 책임과 권한이 명확하지 않을 경우 문제를 발견하고도 실제 수정으로 이어지지 않는 상황이 반복될 수 있다고 우려했다.
김 교수는 "취약점을 찾는 사람을 늘리면 찾은 것의 목록이 늘어난다"며 "그런데 고치는 조직은 따로 있다. 찾는 인력만 늘리면 고치지 못한 문제의 목록만 쌓인다"고 지적했다.
금융당국의 최근 점검 결과에서도 기본적인 보안관리 미흡사항이 확인됐다.
금융위원회가 지난 14일 발표한 금융권 긴급점검 결과에 따르면 금융회사 555곳 가운데 130곳이 자체점검 과정에서 일부 미흡사항을 보고했다.
주요 미흡사항은 최신 보안패치 미적용과 제조사 기술지원이 종료된 노후 시스템 관리 부실, 실시간 보안관제체계 미구축 등이었다. 일부에서는 외부 시스템의 인증·접근통제와 관련한 문제도 발견됐다.
이는 금융회사들이 자체적으로 보고한 점검 결과로, 미흡사항이 확인된 회사들의 취약점 개선 여부는 추가적인 확인이 필요한 상황이다.
금융위는 해당 금융회사들에 보완 조치를 요구하는 한편 CEO와 CISO, 최고정보책임자(CIO)의 보고체계와 책임 범위를 명확히 하도록 지도·감독할 방침이다.
특히 전산시스템의 외부 접점을 빠짐없이 파악하고 보안 취약점 점검 결과가 실제 개선으로 이어지도록 관리체계를 정비한다는 계획이다. 대형 금융회사의 취약점 점검·평가 주기를 연 2회 이상으로 확대하는 방안도 추진하고 있다.
다만 점검 횟수를 늘리는 것만으로 취약점 개선이 보장되는 것은 아니라는 지적도 나온다. 점검을 통해 발견된 문제를 어느 부서가 책임지고 수정할지, 서비스 운영상 어려움이 발생할 경우 누가 최종적으로 판단할지까지 명확히 해야 한다는 것이다.
김 교수는 보안 투자에 대한 평가 기준 역시 달라져야 한다고 강조했다. 단순히 보안 장비를 얼마나 도입했는지보다 금융회사가 보유한 시스템을 정확히 파악하고 있는지, 외부 노출 자산과 노후 시스템을 얼마나 관리하고 있는지, 문제를 발견한 뒤 실제 개선까지 얼마나 걸리는지 등을 평가해야 한다는 설명이다.
김 교수는 "가장 중요한 건 무엇을 재느냐"라며 사고를 금융회사가 자체적으로 먼저 인지했는지, 외부 기관의 통보를 통해 알게 됐는지도 중요한 평가 기준으로 제시했다.
◆ CEO 책임 강화, 취약점 은폐 부작용 우려도
금융당국이 추진하는 CEO의 내부통제 책임 강화에 대해서도 실효성을 높이기 위한 제도적 보완이 필요하다는 의견이 나온다.
이찬진 금융감독원장은 지난 19일 국정감사에서 금융권 해킹 사고와 관련해 CEO의 내부통제 관리 책임을 살펴보겠다는 뜻을 밝혔다. 금융위 역시 보안점검 권고가 실제 현장에서 이행되도록 경영진의 책임을 강화하고 제재 실효성을 높이는 방안을 검토하고 있다.
전문가들은 CEO가 보안과 전산 조직 사이의 이해관계를 조정하고 취약점 개선을 독려하는 역할을 맡아야 한다는 데 주목한다.
보안 부서에서 개선 필요성을 제기했더라도 전산 조직이 서비스 장애 등을 우려해 조치를 미루는 경우 경영진이 개입해 우선순위를 결정하고 개선을 추진할 수 있도록 해야 한다는 것이다.
다만 김 교수는 책임 강화가 사후 제재 중심으로 이뤄지면 예상치 못한 부작용이 발생할 수 있다고 경고했다.
금융회사가 자체적으로 실시한 보안 점검에서 취약점을 발견하고도 사고가 발생하면 과거 점검 기록이나 개선 요청 내역이 오히려 불리한 근거로 활용될 수 있다는 것이다.
이 경우 금융회사가 문제를 적극적으로 찾아 기록하기보다 발견 사실을 드러내는 데 소극적으로 변할 가능성이 있다고 우려했다.
김 교수는 "책임만 강화하면 기업은 막는 법이 아니라 걸리지 않는 법을 배운다"고 말했다.
그러면서 취약점 발견과 개선 요청, 실제 조치 과정을 투명하게 기록하고 정해진 기한 내에 문제를 해결한 금융회사에 대해서는 사고 발생 시 이러한 예방 노력을 책임 판단에 반영할 필요가 있다고 제언했다.
사고가 발생한 이후 책임을 묻는 것뿐 아니라 사고 예방을 위해 어떤 조치를 취했는지도 평가해야 한다는 의미다.
금융권의 보안 관리체계 개편은 취약점 점검과 제재 강화에 그치지 않고 문제를 발견한 이후 실제 개선으로 이어지도록 부서 간 책임과 권한을 명확하게 하는 방향으로 추진돼야 할 것으로 보인다.
금융권 관계자는 "보안 취약점을 발견하더라도 실제 시스템을 수정하려면 서비스 운영과 장애 발생 가능성 등을 함께 고려해야 한다"며 "보안 부서와 전산 부서 간 협업은 물론 경영진 차원에서 개선 우선순위를 정하고 이행 여부를 관리하는 체계가 중요하다"고 말했다.