금융사 64% 금융보안원 미가입…중소형사 보안 지원 나선다

[이데일리 최정훈 기자] 금융보안원이 연간 1억원 안팎의 비용을 부담해 중소형 금융회사에 직접 지원을 제공할 예정이다. 금융보안 의무가 있는 금융회사와 전자금융업자 10곳 중 6곳 이상이 회비를 내고 금보원의 전문적 보안 서비스를 받는 회원사가 아닌 것으로 나타나면서다. 최근 금융권 해킹 사고가 잇따르고 인공지능(AI)을 활용한 공격 가능성까지 제기되자 자체 보안 인력과 대응 역량이 부족한 금융회사부터 지원하겠다는 취지다.

금융권 해킹 사고가 발생한 가운데 5일 서울 시내 한 건물 내에 설치된 은행 ATM기.(사진=연합뉴스)

8일 금융권에 따르면 금보원은 지난 5일 서울 여의도 금융보안원 교육센터에서 열린 ‘AI 시대 보안체계 혁신을 위한 전 금융권 간담회’에서 비회원 중소형 금융사에 대한 보안 지원 방안을 마련하기로 했다. 이달 중 지원 수요를 파악하고 내년 1월부터 단계적으로 시행할 계획이다.

검토 중인 지원 방안은 실시간 보안 상담과 AI 기반 웹사이트 취약점 점검, 점검 결과에 대한 상담 등이다. 월 1회 집합교육과 전용 홈페이지를 통한 질의응답 서비스도 제공할 예정이다. 보안 전문인력이 부족한 금융회사가 외부 공격에 노출된 취약점을 발견하고 대응할 수 있도록 돕는 방식이다.

금보원 관계자는 “수요조사는 늦어도 12월까지 진행하고 내년 1월부터 보안 지원을 단계적으로 실시하려 한다”며 “금융권 협회를 통해 조사하고 추천받는 방식을 금융위원회와 협의하겠다”고 말했다.

지원 대상은 모든 비회원 금융사로 일괄 확대하기보다 자체 보안 인력과 대응 역량이 부족한 소규모 업체에 집중할 방침이다. 다만 회원사에 제공하는 수준의 통합 보안관제까지 지원하기는 어렵다는 입장이다.

이 같은 지원은 금융권을 겨냥한 사이버 공격이 갈수록 정교해지는 상황과 맞물려 있다. 앱 보안 전문기업 모니터랩의 위협 인텔리전스 조직 AI랩스는 최근 보고서에서 금융권 공격에 인공지능(AI) 기반 자동화 도구가 활용됐을 가능성을 제기했다. 서버 반응에 따라 공격 방식을 바꾸는 ‘아르텍스(ARTEX)’와 같은 AI 도구는 기존의 특정 문자열이나 접속 정보 차단만으로 대응하기 어렵다는 분석이다. 이에 외부 노출 시스템과 업무용 프로그램의 취약점을 지속적으로 점검하는 등 보안 대응체계를 강화해야 한다는 지적이 나온다.

[그래픽=이데일리 김정훈 기자]

그러나 보안 대응 역량이 상대적으로 부족한 중소형 금융회사일수록 전문기관의 지원을 받기 어려운 실정이다. 국회 정무위원회 소속 김형연 조국혁신당 의원실이 금보원에서 제출받은 자료에 따르면 전자금융거래법상 안전성 확보 의무가 있는 금융회사와 전자금융업자 530곳 가운데 금보원 회원사는 192곳(36.2%)에 그쳤다. 나머지 338곳(63.8%)은 회원사가 아니었다.

특히 금융당국이 보안 역량이 상대적으로 취약하다고 진단한 전자금융업자는 10곳 중 9곳 이상이 금보원에 가입하지 않은 것으로 나타났다. 금융회사의 규모와 관계없이 사이버 공격에 노출될 수 있지만 전문적인 보안 지원을 받을 수 있는 여건에는 차이가 있는 셈이다.

가입을 가로막는 요인으로는 비용 부담이 꼽힌다. 금융권에서는 금보원 가입과 관련 서비스 이용에 연간 1억원가량이 필요한 것으로 보고 있다. 대형 금융회사와 달리 보안 인력과 예산이 제한적인 중소형사에는 적지 않은 부담이다. 금보원 가입이 의무가 아닌 만큼 가입 권유만으로 보안 공백을 해소하기 어렵다는 지적도 나온다.

금융당국도 중소형 금융회사의 보안 역량을 높이기 위한 지원을 확대할 방침이다. 금융위는 지난 5일 간담회에서 금보원이 금융회사의 외부 노출 전산시스템과 취약점을 상시 탐색하고 위험 우선순위와 개선 방안을 한꺼번에 제공하도록 하겠다고 밝혔다. 금융권 협회와 함께 AI 기반 공동 보안관제 구축도 지원할 계획이다.

다만 비회원사에 대한 직접 지원이 보안 상담과 취약점 점검 등에 한정되는 만큼 실제 침해사고를 탐지하고 대응하는 단계까지 보안 공백을 줄일 수 있을지는 과제로 남는다. 지원 대상 선정 기준과 비용 부담 방식, 회원사와 비회원사 간 서비스 차이도 구체화할 필요가 있다.

이억원 금융위원장은 간담회에서 “중대한 관리 부실에 대해서는 최고경영자(CEO)의 책임을 엄정하게 물을 것”이라며 금융회사 경영진의 보안 관리 책임을 강조했다.