사이버테러 ‘단골 타깃’ 금융권, 벗어날 방법은?

내부정보 시스템 재점검 및 전자금융법 개정안 강화로 대비해야

[보안뉴스 김경애] 지난 20일 전산망 마비 사태와 관련해 금융권은 여전히 불안감이 지속되고 있다.

농협의 경우 지난 2011년 디도스 공격을 비롯해 해킹공격만 벌써 3번째다. 그만큼 한 번 사이버 공격을 받은 금융기관은 2차 공격 대상일 확률이 높다는 것을 짐작할 수 있다. 이번 사태를 비롯해 금융권 사이버테러가 반복적으로 발생함에 따라 전 금융권의 철저한 대비가 요구된다.

금융위원회는 이와 관련해 25일 신제윤 위원장이 취임 후 첫 공식행사로 ‘금융상황점검회의’를 주재해 국내외 금융시장 동향 및 주요 리스크 요인 등을 점검하고, 최근 금융 전산장애 현황 및 향후 대응방안에 대해 논의했다고 밝혔다.

지난 20일 발생한 전산망 마비 사태와 관련해 금융위는 “유관기관과의 협조하에 필요한 기술적 사항을 조치하고, 사고원인에 대한 철저한 규명작업을 진행 중”이라며 “현재까지는 대부분 금융거래에 차질이 없는 것으로 집계됐으며, 잔여 장애설비에 대해서는 복구 중”이라고 밝혔다.

이번 사태의 피해상황에 관련해 신 위원장은 “전산장애에 따른 이용자 정보 유출은 없었던 것으로 파악되나, 혹시 모를 추가 피해 발생시 금융회사 측이 충분히 보상하도록 지도했다”며, “당분간 추가 장애 발생 가능성을 대비해 지속적인 모니터링과 함께 발빠르게 대응할 수 있도록 보안체계를 유지할 방침”이라고 설명했다.

전산장애에 따른 향후 대응방안에 대해서는 영업점의 전산망장애를 신속히 복구해 상황을 확실하게 마무리 지을 것을 지시하고, 금융위와 금감원이 공동으로 전 금융권의 보안실태와 체계를 재점검해 근원적 재발방지를 위한 대책을 수립해 나갈 것이라고 밝혔다.

또 금융위·금감원 합동 ‘금융통합상황실’을 중심으로 대내외 주요 리스크 요인, 자본유출입 동향 등에 대해 밀착 모니터링하고, 합동 ‘금융상황점검회의’를 수시로 개최해 유관기관과의 긴밀한 협조 및 정보공유 체계도 더욱 강화할 것이라고 덧붙였다.

뿐만 아니라 위기대응계획(Contingency Plan)을 최근 상황 전개 등에 고려해 지속 재점검·보완해 나가고, 필요시에는 위기대응계획에 마련된 시장안정 대책을 과감하게 시행해 시장의 불안이 확산되지 않도록 대응할 방침이라고 밝혔다.

그러나 사건 발생 5일이 지났음에도 불구하고 명확한 원인 규명이 되지 상황에서 금융위의 위기대응조치에 대한 신뢰성에 의문이 제기되고 있고, 2차 공격에 대한 우려도 커지고 있는 상황이다.

그렇다면 2차 공격을 대비하기 위한 좀더 효과적이고 실질적인 대응방법은 무엇일까?

이와 관련해 오영식 민주통합당 의원은 “전자금융거래법 개정안을 조속히 통과시켜야 한다”고 강조했다. 최근 금융권을 겨냥한 해킹 피해가 늘고 있어 금융소비자들이 피해를 입을 가능성이 높다고 언급한 오 의원은 “전자금융법 개정안은 해킹으로 소비자 피해가 발생한 경우 금융회사가 1차 보상 책임을 지도록 하고 있다”며 “국민들이 금융권의 IT보안, 장애사고로 금전적 피해를 입지 않도록 법을 개정해 해킹에 대한 예방과 금융회사의 사후책임을 강화해야 한다”고 설명했다.

또한, 보안전문가는 “관련 전문가들의 의견을 수집해보면 데이터 정보 보호를 우선으로 꼽는다”며, “금융권의 내부정보를 암호화하고, 권한시스템의 제한으로 내부정보가 유출되지 않도록 시스템을 재정비해야 한다”고 강조했다. 또한 “CCTV와 같은 영상자료의 보호 및 관리가 함께 이뤄져야한다”고 덧붙였다.

이와 함께 본지에 제보한 박모씨는 실질적인 대응방안으로 테러등급에 맞는 보안체계를 갖추는 것과 함께 복원솔루션 도입을 의무화할 것을 제안했다. 이밖에도 망 분리와 서버보안 관리 강화 등이 시급히 이루어져야 한다고 보안업계 관계자들은 입을 모았다.

이번 사태를 기점으로 점점 지능화되고 고도화되는 해킹공격에 대한 금융기관의 철저한 대비가 요구되고 있는 가운데 금융보안체계의 근본적인 재점검과 대책 마련이 시급해 보인다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)