스캐닝 넘어 공격자 시선으로... 금융보안원, ‘모의해킹 실무 가이드’ 배포

생성형 AI 악용 공격 증가 속 3개 분야 6개 항목 핵심 점검 체계 마련
마이터 어택 및 킬체인 프레임워크 기반으로 목표지향적 모의 침투 시나리오 정립

[보안뉴스 조재호 기자] 금융보안원은 금융사가 실제 공격자 관점의 침투테스트를 체계적으로 수행할 수 있도록 돕는 ‘금융분야 침투테스트’(모의해킹) 수행 가이드라인을 발간했다고 3일 밝혔다.

이번 가이드라인 발간은 개인정보 상시평가 내 모의해킹 항목 신설과 ISMS-P 기술심사 모의침투 도입 등 침투테스트 관련 제도적 요구가 확대된 데 따른 조치다.

침투테스트는 실제 공격자와 동일한 기법을 활용해 IT 인프라에 대한 침투 가능성을 입증하는 목표지향적 점검 방법이다. 금융보안원은 가이드라인을 통해 사전준비, 점검 수행, 결과보고, 사후관리 등 단계별 실무 기준을 제시했다. 금융회사가 이를 체계적으로 기획하고 관리할 수 있도록 3개 분야 6개 항목으로 구성된 체크리스트도 함께 제공한다.

국제적으로 널리 활용되는 ‘마이터 어택’(MITRE ATT&CK) 및 록히드 마틴의 ‘사이버 킬체인’(Cyber Kill Chain) 등 공격 프레임워크를 적극 반영한 점이 특징이다. 단순한 취약점 목록 도출을 넘어 초기 침투, 내부 확산, 핵심 자산 접근 및 데이터 반출로 이어지는 실제 공격 흐름을 그대로 재현해 보안 체계의 실효성을 검증하도록 시나리오 기반 점검 기준을 마련했다.

가이드라인 제정에는 금융보안원 내 화이트해커로 구성된 침투테스트 전문부서 RED IRIS가 다년간 축적한 실무 경험이 뼈대가 됐다. 금융보안원은 향후 실무 적용 결과를 반영해 가이드라인을 지속적으로 보완하고 금융회사의 자체 점검을 밀착 지원할 예정이다. 상세 내용은 금융보안 레그테크 포털에서 확인할 수 있다.

박상원 금융보안원 원장은 “AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수”라며 “이번 가이드라인을 통해 금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 적극 지원하겠다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다