염흥렬 순천향대 정보보호학과 교수
고객이 은행을 직접 방문하지 않고 인터넷을 통해 자신이 원하는 곳에서 전자자금이체 및 잔액조회 등을 제공받는 인터넷 뱅킹 서비스가 활성화되면서 고객의 편리성은 급속히 증대된 반면 이와 비례해 안전성에 대한 우려 역시 증가하고 있다. 이같은 우려는 이미 전 세계에서 발생하고 있는 전자금융사고는 둘째치고 국내에서 발생한 7ㆍ7 분산서비스거부(DDoS) 공격테러로 피부에 와 닿는 상황이 됐다. 특히 최근 아이폰 등 스마트폰 열풍이 불면서 은행 등 금융사들이 모바일 전자금융거래 서비스 도입을 추진하는 상황에서 이를 타깃으로 한 해킹 기술도 진화를 거듭하고 있어 미래에는 더욱 심각한 이슈로 부각될 전망이다.
인터넷뱅킹 등 전자금융 보안 사고는 공인인증서나 보안 카드 보관 부주의 등 고객의 편의성으로 인해 발생하는 사례가 많지만 전자금융사고에 적절히 대응하지 못하는 등의 금융사의 방어 시스템의 미흡에서도 나타난다. 지난해 7ㆍ7 사태 이후 금감원이 9월 △기술적 대응역량강화 △정보보호 거버넌스 강화 △정보보호 전문가 양성 △감독기능의 강화 및 협력 증진 등을 골자로 하는 대책을 마련한 것은 늦었지만 적절한 것으로 평가된다. 그러나 국내 전자금융 서비스의 안전성을 강화하기 위해서는 이러한 대책 외에 다음과 같은 종합적 고려가 필요하다.
먼저 전자금융 이용 고객에 대한 보안 의식 강화 활동이 필요하다. 현실 세계에서 금은보화는 금고의 열쇠나 출입통제장치 등으로 보호하지만 사이버 공간에서의 금융자산은 패스워드나 공인인증서, 보안카드 등에 기반을 둔 2~3중의 보안 시스템 체계로 방어해야 한다. 고객이 자신의 인증서나 보안 카드를 PC나 이메일 보관함에 보관하는 것은 현실세계에서 금고의 열쇠를 다른 사람의 손에 맡기는 것과 동일하다는 의미다. 따라서 다양한 고객 보안 의식 강화를 위한 대 고객 홍보와 인식 제고 프로그램 강화가 시급히 요구된다.
둘째, 전자금융 서비스를 위한 보안 기반의 강화가 요구된다. 날로 진화하고 있는 해킹 기술로 인해 보안 위협이 커지고 있는 상황에서 표준화된 신규 보안기술의 신속한 개발과 적용은 그 어느 때보다 중요하다고 할 수 있다. 특히 다양한 신규 보안 취약성이 예측되는 스마트폰 기반의 모바일 전자금융 서비스의 안정적 운용을 위한 보안 기술 개발이 시급히 요구되고 있다. 또 관련 정보보호 인력 확보를 위한 예산 마련과 최고정보보호책임자(CSO)의 도입 등도 관련 대책과 기술과 함께 중요한 요소가 돼야 할 것이다.
셋째, 개인 방화벽ㆍ키보드보안ㆍ백신ㆍ공인인증서ㆍ암호화 등 전자금융 관련 보안 프로그램에 대한 안전성 점검 강화가 필요하다. 강화된 점검 기준을 통과한 프로그램만을 서비스에서 사용하게 해야하며 안전성 점검 기준도 최신 위협 환경과 기술 발전을 고려해 주기적으로 향상되어야 한다.
넷째, 전자금융 시스템에 대한 자체 감사 및 모니터링 활동도 강화돼야 한다. 특히 해킹 등 보안 사고는 본격적인 공격이 발생하기 이전에 사전 준비 단계가 존재하는 만큼 사전 준비 단계에서 공격의 가능성을 예측할 수 있다면 사전에 예방할 수 도 있다. 또 내부자에 의한 사고에 대비해 자체 보안 감사 활동의 강화가 요구되고 이는 기술에 의존한 대책의 범위를 넘어서 보안정책 수립 및 관리 및 인원보안 등을 포괄해야 한다. 따라서 전자금융 서비스에 특화되고 강화된 정보보호관리체계의 수립이 요구되며 적용 의무화도 고려되어야 한다.
다섯째, 국내외 침해 대응 조직간의 정보 교류 강화와 협조 체계의 구축이 무엇보다도 중요하다. 평소뿐만 아니라 긴급 상황시 유관 보안 기관간의 상시적인 사이버 정보 교류도 요구되며 위급 상황을 감안한 대응훈련도 주기적으로 실시해 긴급 사태에 대비해야 할 것이다.
전자금융서비스는 이제 인터넷 상에서의 경제 활동이 아닌 전체 금융 경제의 원활한 작동을 하게끔 하는 필수 요소로 진화했다. 때문에 전자금융서비스에 대한 위협은 국내 금융경제에 타격을 줄 수 있다는 점을 명심해 소 잃기 전에 외양간을 고치는 유비무환의 자세가 요구되는 시점이다.
인터넷뱅킹 등 전자금융 보안 사고는 공인인증서나 보안 카드 보관 부주의 등 고객의 편의성으로 인해 발생하는 사례가 많지만 전자금융사고에 적절히 대응하지 못하는 등의 금융사의 방어 시스템의 미흡에서도 나타난다. 지난해 7ㆍ7 사태 이후 금감원이 9월 △기술적 대응역량강화 △정보보호 거버넌스 강화 △정보보호 전문가 양성 △감독기능의 강화 및 협력 증진 등을 골자로 하는 대책을 마련한 것은 늦었지만 적절한 것으로 평가된다. 그러나 국내 전자금융 서비스의 안전성을 강화하기 위해서는 이러한 대책 외에 다음과 같은 종합적 고려가 필요하다.
먼저 전자금융 이용 고객에 대한 보안 의식 강화 활동이 필요하다. 현실 세계에서 금은보화는 금고의 열쇠나 출입통제장치 등으로 보호하지만 사이버 공간에서의 금융자산은 패스워드나 공인인증서, 보안카드 등에 기반을 둔 2~3중의 보안 시스템 체계로 방어해야 한다. 고객이 자신의 인증서나 보안 카드를 PC나 이메일 보관함에 보관하는 것은 현실세계에서 금고의 열쇠를 다른 사람의 손에 맡기는 것과 동일하다는 의미다. 따라서 다양한 고객 보안 의식 강화를 위한 대 고객 홍보와 인식 제고 프로그램 강화가 시급히 요구된다.
둘째, 전자금융 서비스를 위한 보안 기반의 강화가 요구된다. 날로 진화하고 있는 해킹 기술로 인해 보안 위협이 커지고 있는 상황에서 표준화된 신규 보안기술의 신속한 개발과 적용은 그 어느 때보다 중요하다고 할 수 있다. 특히 다양한 신규 보안 취약성이 예측되는 스마트폰 기반의 모바일 전자금융 서비스의 안정적 운용을 위한 보안 기술 개발이 시급히 요구되고 있다. 또 관련 정보보호 인력 확보를 위한 예산 마련과 최고정보보호책임자(CSO)의 도입 등도 관련 대책과 기술과 함께 중요한 요소가 돼야 할 것이다.
셋째, 개인 방화벽ㆍ키보드보안ㆍ백신ㆍ공인인증서ㆍ암호화 등 전자금융 관련 보안 프로그램에 대한 안전성 점검 강화가 필요하다. 강화된 점검 기준을 통과한 프로그램만을 서비스에서 사용하게 해야하며 안전성 점검 기준도 최신 위협 환경과 기술 발전을 고려해 주기적으로 향상되어야 한다.
넷째, 전자금융 시스템에 대한 자체 감사 및 모니터링 활동도 강화돼야 한다. 특히 해킹 등 보안 사고는 본격적인 공격이 발생하기 이전에 사전 준비 단계가 존재하는 만큼 사전 준비 단계에서 공격의 가능성을 예측할 수 있다면 사전에 예방할 수 도 있다. 또 내부자에 의한 사고에 대비해 자체 보안 감사 활동의 강화가 요구되고 이는 기술에 의존한 대책의 범위를 넘어서 보안정책 수립 및 관리 및 인원보안 등을 포괄해야 한다. 따라서 전자금융 서비스에 특화되고 강화된 정보보호관리체계의 수립이 요구되며 적용 의무화도 고려되어야 한다.
다섯째, 국내외 침해 대응 조직간의 정보 교류 강화와 협조 체계의 구축이 무엇보다도 중요하다. 평소뿐만 아니라 긴급 상황시 유관 보안 기관간의 상시적인 사이버 정보 교류도 요구되며 위급 상황을 감안한 대응훈련도 주기적으로 실시해 긴급 사태에 대비해야 할 것이다.
전자금융서비스는 이제 인터넷 상에서의 경제 활동이 아닌 전체 금융 경제의 원활한 작동을 하게끔 하는 필수 요소로 진화했다. 때문에 전자금융서비스에 대한 위협은 국내 금융경제에 타격을 줄 수 있다는 점을 명심해 소 잃기 전에 외양간을 고치는 유비무환의 자세가 요구되는 시점이다.
