[서울=뉴시스]김민수 기자 = 금융권의 해킹 사고 예방과 정보보호를 지원하는 금융보안원이 자체 시스템에 대한 해킹 공격을 막지 못하면서 보안 전문기관으로서의 신뢰성에 타격을 입게 됐다.

금융회사들에 보안 취약점 개선과 상시 점검을 강조해 온 기관에서 사고가 발생한 만큼 자체 보안 관리체계와 점검 역량을 전면적으로 검토해야 한다는 지적이 나온다.

11일 금융권에 따르면 금융보안원은 지난 9일 상시평가지원 시스템에서 외부 해킹 공격에 따른 정보 유출 사실을 확인했다.

금융보안원에 따르면 현재까지 확인된 유출 정보는 행정서식 약 200건과 해당 서식에 포함된 개인정보 300여건, 시스템 이용자 정보 350여건 등이다.

금융당국은 이날 오전 점검반을 구성해 금융보안원에 대한 긴급 현장점검에 착수했다. 금융위원회는 이번 점검을 통해 해킹 사고 발생 경위와 정보 유출 규모, 금융보안원의 대응 조치 등을 살펴볼 것으로 보인다.

금융보안원은 그동안 금융회사들의 해킹 사고 예방과 보안 취약점 개선을 위한 점검 활동을 강화해 왔다. 올해 금융회사 취약점 분석·평가 기준을 기존 789개에서 869개로 확대하고, 모의해킹 전담 조직과 웹보안점검팀을 신설하는 등 금융권 보안 역량 강화에 주력했다.

특히 지난 9월17일 금융회사 보안 담당자들을 대상으로 진행한 세미나에서는 외부에 노출된 정보기술(IT) 자산에 대한 상시 점검의 필요성을 강조했다. 연 1~2회 수준의 정기적인 진단만으로는 고도화되는 해킹 공격에 대응하기 어렵다는 취지였다.

그러나 불과 두 달도 지나지 않아 금융보안원 자체 시스템에서 침해사고가 발생하면서 금융회사들에 강조해 온 보안 관리 원칙이 내부에서도 제대로 작동했는지 의문이 제기되고 있다.

금융보안원이 회원 금융회사들의 회비를 주요 재원으로 운영되는 기관이라는 점에서도 보안 점검의 실효성에 대한 의문이 커지고 있다.

지난달 14일 기준 금융당국이 침해사고를 확인한 금융회사 16곳 가운데 10곳은 금융보안원 회원사로 파악됐다. 금융보안원 회원사들에서도 잇따라 침해사고가 발생한 데 이어 금융보안원 자체 시스템까지 침해된 것이다.

금융권의 보안 점검을 담당하는 전문기관인 만큼 금융보안원 자체의 보안 관리체계에 대해서도 보다 엄격한 검증이 필요하다는 지적이 나온다. 특히 외부 전문기관을 통한 독립적인 보안 평가와 금융회사별 정보 관리체계 개선이 과제로 꼽힌다.

황석진 동국대 국제정보보호대학원 교수는 "자기 집도 못 지키면서 남보고 집을 잘 지키라고 가서 대문 만들어 주는 것은 아닌 것 같다"며 "금융보안원의 자체 보안 관리체계에 대한 점검이 필요하다"고 지적했다.

황 교수는 "보안을 점검하는 기관도 독립적인 보안 점검을 받아야 한다"며 "금융보안원 역시 외부 전문기관을 통한 정기적인 보안 평가를 받아야 한다"고 강조했다.

특히 금융회사별 보안 관련 정보가 한곳에 집중되는 구조의 위험성도 지적했다.

황 교수는 "하나의 시스템이 침해됐을 때 여러 금융회사가 잠재적인 피해를 볼 수 있는 위험에 노출됐다고 볼 수 있다"며 "민감한 원본 자료는 금융회사 내부에 보관하도록 하고 금융보안원은 필요한 평가 결과를 중심으로만 제출받아 확인해야 한다"고 말했다.

또 "민감한 정보가 거의 유출되지 않았다는 설명만으로 안전하다고 단정하기는 상당히 어렵다"며 "유출된 정보가 어떤 성격이 있는지, 실제 공격에 활용될 가능성이 있는지 객관적으로 검증하는 것이 가장 중요하다"고 덧붙였다.

금융보안원의 기관장 인선과 관련해서도 정보보호 분야의 전문성을 강화할 필요성이 제기된다.

금융보안원은 2015년 출범 이후 현 원장을 포함해 역대 원장 5명이 모두 금융감독원 부원장보 출신이다. 금융감독 분야의 경험과 별개로 고도화되는 사이버 공격에 대응하기 위해서는 기관 운영에 정보보호 전문가들의 참여를 확대할 필요가 있다는 목소리가 나온다.

다만 금융권에서는 최근 해킹 수법이 고도화되고 있다는 점도 고려해야 한다는 의견이 나온다.

한 금융권 관계자는 금융보안원에서도 해킹 사고가 발생할 정도로 공격 수법이 정교해지고 있다며, 사고 자체만으로 보안 관리가 부실했다고 단정하기보다는 고도화된 공격에 대한 대응 방안을 고민할 필요가 있다고 말했다.

금융보안원이 금융권의 정보보호와 침해사고 대응을 지원하는 핵심 기관인 만큼 이번 사고를 계기로 자체 보안체계에 대한 독립적인 검증과 재발 방지 대책을 마련해야 한다는 목소리가 커질 것으로 보인다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지