[녹색경제신문 = 나아영 기자] 금융당국이 금융보안 투자를 촉진하고 리스크 관리를 강화하는 '디지털금융안전법(가칭)' 제정에 착수한 가운데 주요 은행들도 정보보호 및 보안 강화에 속도를 내고 있다.  

KB국민은행은 정보보호 조직을 준법감시인 산하로 재편하고 소비자보호그룹 산하에 금융사기예방유닛을 신설했다. 하나은행은 실시간 위협분석 시스템 구축에, 신한은행은 보안 데이터 통합 관리에, 우리은행은 서버 보안 강화에 각각 집중하고 있다.

26일 금융권에 따르면 금융당국은 현재 추진 중인 디지털금융안전법에 보안성 실태 평가를 법제화하고 개선 사항 미이행 시 과태료와 이행강제금을 부과하는 내용을 반영할 예정이다. 금융보안원이 금융사의 보안 수준을 진단하는 보안성 실태 평가가 법에 반영되며 4점을 만점으로 평가된다. 디지털금융안전법은 지난해 말 이재명 대통령 업무보고에서 금융당국이 해킹 재발을 막기 위해 내놓은 조치다.

디지털금융안전법에 반영되는 보안성 실태 평가는 지배구조, 물리적 인프라, 탐지·방어 능력 등의 체크리스트 항목을 통해 보안성을 체계적으로 진단한다. 4점을 만점으로 하며 결과를 토대로 개선 계획 등 컨설팅도 이뤄진다. 해당 점수는 향후 금융사들이 해킹 사고를 당했을 때 제재 근거로 활용된다. 점수가 미흡할 경우 제재가 가중되고 점수가 높으면 일정 수준으로 제재를 감면해 준다. 금융위원회는 지난달 대통령 업무보고에서 모의해킹과 금융업권 정기 합동훈련 실시 등 빈틈없는 금융보안체계를 구축하겠다고 밝혔다.

시중은행의 정보보호 예산은 최근 급증하는 추세다. 9개 은행(KB국민은행·신한은행·하나은행·우리은행·NH농협은행·기업은행·카카오뱅크·케이뱅크·토스뱅크)이 국회 정무위원회 소속 더불어민주당 강준현 의원에게 제출한 자료에 따르면 이들 은행의 정보보호 예산은 2021년 2842억원에서 지난해 상반기 4545억원으로 약 60% 증가했다.

이중 우리은행의 정보보호 예산이 약 787억원으로가장 많았고 NH농협은행이 753억원, KB국민은행이 676억원, 기업은행이 663억원을 각각 기록했다. 이어 ▲신한은행 453억원 ▲카카오뱅크 435억원 ▲하나은행이 433억원 등의 순으로 이어졌다.

각 은행의 보안 강화 대책도 구체화되고 있다. KB국민은행은 지난해 말 정보보호 조직을 준법감시인 산하로 재편하고 소비자보호그룹 산하에 금융사기예방유닛을 신설했다. 멀티 백신 기반 인프라를 도입해 망 연계, 웹메일, 파일 전송 등 주요 경로를 다층 구조로 통제하고 있으며 인공지능 기반 이상거래 탐지 시스템을 고도화해 거래 패턴과 접속 환경을 실시간 분석하고 있다. 최근 5년간 62회의 화이트해커 점검을 통해 계정 비밀번호 변경, 네트워크 분리 및 취약 설정 비활성화 등의 개선 조치를 완료했다.

신한은행은 스플렁크 기반 보안 빅데이터 플랫폼 라이선스를 대규모로 증설해 이상 징후 탐지와 단말·보안장비 현황을 실시간으로 파악하는 체계를 마련했다. 보안 영역과 내부통제를 데이터 기반으로 연계하고 영상 정보를 활용해 내부 직원의 행위와 업무 프로세스까지 관리할 수 있도록 보안 범위를 확대하고 있다. 계정관리와 접근 권한 통제는 업무별 역할 기반으로 부여하며 인사이동과 퇴직 시 자동으로 권한이 회수되도록 시스템화해 내부자 사고를 예방하고 있다. 금융사기 탐지 시스템을 통해 로그인 단계에서 평소와 다른 접속 위치나 기기 변경 등을 감지하면 이상 로그인 시도로 판단해 경고를 제공한다.

우리은행은 글로벌 취약점 데이터베이스와 연동한 공통 취약점 및 노출 점검 솔루션을 도입해 서버 취약점을 상시 점검하는 체계를 구축했다. 일회성 진단에서 상시 모니터링 방식으로 전환해 알려진 취약점 기반 사고를 사전에 차단하겠다는 전략이다. 우리은행은 지난해 기준 정보기술 부문 투자액 대비 정보보호 투자 비중이 12.3%로 시중은행 중 최대 수준이며 2020년부터 6년 연속으로 정보보호 투자 및 인력 현황을 자율 공개해 투명성을 확보하고 있다. 시중은행 중 유일하게 버그바운티 방식의 모의해킹 경진대회를 운영하며 집단지성을 활용한 신종 취약점 조기 탐지에 나서고 있다.

하나은행은 그룹 통합보안관제센터를 통해 24시간 365일 외부 침해 위협을 실시간으로 탐지·분석·대응하고 있다. 실시간 보안 위협 정보를 활용한 지능형 분석·대응 시스템을 구축해 위협 인텔리전스 기반으로 공격 징후를 자동 분석하고 즉각 대응하는 체계를 마련했다. 공격표면관리체계 고도화를 통해 보안관제를 강화하고 전문 화이트해커 점검으로 사이버 위협 대응력을 높이고 있으며 정기적 데이터 백업과 주기적 침해 예방 훈련도 병행하고 있다.

한편, 일부 은행은 지난해 보안 규정 위반으로 제재를 받았다. 금융감독원은 지난달 초 신한·우리·수협·SC제일 4개 은행에 프로그램 변경 통제 미흡, 물리적 망 분리 위반, 비상 대책 미비, 백업 대책 부실 등으로 총 2억4600만원의 과태료를 부과했다.

신한은행은 2022년 책임자 승인 없이 프로그램을 적용해 전자금융 업무가 두 차례 중단됐으며 우리은행은 2021년 두 달간 망 분리 의무를 위반했다. 수협은행은 2019년부터 2023년까지 5년간 백업 대책을 운영하지 않았으며 SC제일은행은 방화벽 장애 재발을 방치했다. 이들 4개 은행은 모두 과태료 처분만 받았으며 우리은행과 수협은행의 관련 임원에게는 주의 상당의 제재가 통보됐다.

금융권 관계자는 "디지털금융안전법 도입으로 보안성 평가점수가 해킹 사고 발생 시 제재 가중·감면 근거로 활용되는 만큼 은행권의 보안 투자가 더욱 확대될 것"이라며 "금융권 전반적으로 해킹 방어 능력이 제고될 것으로 기대된다"고 밝혔다.