[릴레이 인터뷰]금융ISAC 우순규 정보보호 기획 팀장

금융결제원 금융ISAC은 정보통신기반보호법 제16조(정보공유·분석센터)에서 규정한 정보공유·분석센터로서 금융회사 정보통신기반시설을 해킹, 컴퓨터바이러스 등 전자적 침해로부터 보호하기 위해 2002년 10월 정부로부터 승인을 받아 본격적인 업무를 시작하였다.

현재 17개 국내은행과 새마을금고연합회, 신협중앙회 등 총 19개 참가기관에 대한 정보보호서비스를 제공하고 있고 기획, 기술, 평가, 대응, 지원 등 체계적인 조직을 갖추고 있다.

2009년도 금융권 최대 보안 이슈는 무엇이라 생각하는가?

2009년도 금융권의 최대 보안이슈는 단연 지난 7월 발생한 DDoS 공격이라 생각된다. 지난 7·7 DDoS 공격시 많은 기관의 홈페이지가 장시간 접속 중단되는 사태가 발생하였으나, 은행권의 경우 대량의 공격 트래픽이 집중되었음에도 불구하고 여타 기관에 비해 대응이 잘 된 것으로 평가받았다.

이는 은행권의 경우 금융결제원 금융ISAC을 중심으로 은행권 통합보안관제센터를 운영함으로써 24시간 전자적 침해사고 발생 여부를 모니터링하여 만약의 사태에 대비하고 있었으며, 작년 10월에는 DDoS 공격 탐지시스템, 올해 1월에는 DDoS 공격 차단시스템을 공동으로 구축하여 미리 대비하여 온 것이 효과를 발휘한 것으로 볼 수 있다.

DDoS 공격은 끊임없을 것으로 보이는데...어떻게 대응할 것인지.

지난 7·7 DDoS 공격은 여러 기관으로 분산하여 공격이 이루어졌으나 만약 이와 같은 공격이 한 기관으로 집중된다면 수십 기가의 공격 트래픽이 발생하며, 이 경우 대부분 개별기관의 현재 시스템으로는 대응이 불가능하다. 향후 DDoS 공격은 이와 같이 개별 기관의 네트워크 대역폭 또는 DDoS 공격 차단시스템의 대응능력을 초과하는 대용량 공격으로 확대될 전망을 보임에 따라 이에 대한 대응이 필요하다.

금융결제원 금융ISAC에서는 이러한 위협에 체계적으로 대응하기 위하여 DDoS 공격 등 다양한 침해사고 공격 유형에 대한 분석 역량을 강화하고, 개별 금융기관의 대응능력을 초과하는 대량의 DDoS 공격이 발생하는 경우 금융기관에 유입되는 트래픽 전체를 ‘DDoS 공격 비상(우회) 대응센터’로 우회하는 등의 방안을 검토하고 있다. 특히 올해는 DDoS 공격 모의훈련을 도상 훈련이 아닌 실전 훈련으로 진행함으로써, DDoS 공격 대응체계 및 역량을 점검하여 항상 최적의 DDoS 공격 대응체계를 유지하도록 노력하고 있다.

DDoS 공격에서 보면 사용자의 보안강화도 중요해 보이는데.

지난 7·7 DDoS 공격에 악용된 좀비PC 대부분은 일반 사용자의 PC였으며, 최근 발생하는 전자금융 관련 위협 또한 보안대책이 잘 갖추어져 있는 금융기관 서버보다는 상대적으로 보안이 취약한 일반 사용자의 PC 등을 타겟으로 하고 있다. 이에, 방송통신위원회에서는 ‘악성 프로그램 확산 방지 등에 관한 법률(가칭)’제정을 추진하는 등 최근 일반 사용자의 보안의식 제고 필요성에 대한 사회적 공감대가 형성되고 있다.

금융결제원은 일반 사용자의 보안의식을 제고함으로써 전자금융 전반의 보안성을 강화하고자 ‘금융 정보보호 공모전’을 개최하고, 지난 7월부터는 금융위원회·금융감독원 등과 공동으로 안전한 전자금융거래를 위한 ‘범금융권 고객정보보호 캠페인’을 실시하고 있다.

공인인증서 불법 발급에 대한 대책이 필요하다는 요구가 늘고 있다.

공인인증서 불법발급은 결제원에서 많이 고민했던 문제다. 심지어 온라인 발급을 중지하자는 이야기도 나왔었다. 그러나 앞으로는 인터넷뱅킹 불법(의심)거래 정보공유 체계 구축해 추진함으로써 이런 문제가 다소 해소될 것으로 보인다.

이는 인터넷뱅킹 사고가 발생하기 전에, 금융ISAC에서 공인인증서 발급에 대한 로그를 분석해 불법 발급인 경우에는 발급이 안 되도록 하는 장치다. 이를 위해서 금융ISAC의 모니터링 정보와 금융회사에서 수집한 인터넷뱅킹 의심 거래 모니터링 정보를, 전 참가기관이 공유함으로써 전자금융 사고확산을 방지하고자 한다.

금융권의 보안성 강화를 위해 가장 필요한 것은?

금융 정보보호 전문인력 양성이 가장 시급하다. 금융 정보보호 전문인력 양성은 금융IT 인프라를 개선하고 전자금융의 전반적인 보안성을 강화하기 위한 필수조건이라 할 수 있다. 이에, 금융결제원 금융ISAC에서는 금융회사 니즈에 부합하고 역량을 제고할 수 있는 교육을 확대 실시하고, 금융 정보보호 전문가 양성 및 체계적인 연수/훈련을 실시할 수 있는 전문교육훈련센터로서 역할을 강화하고자 한다.