검색 - IT세상을 바꾸는 힘 지디넷코리아

금융보안원, 금융권 보안대책 마련 나선다

금융보안원이 금융권 소프트웨어 공급망 보안체계에 대한 철저한 대비책 마련을 위해 행동에 나섰다. 금융보안원은 다음달 5일 여의도에서 '한국 금융보안의 현 주소와 나아갈 방향'을 주제로 세미나를 개최한다. 이번 세미나는 소프트웨어 공급망 보안체계의 중요성을 강조하고 정책·기술적 대응 방안을 논의하기 위해 마련됐다. 세미나에는 윤명근 국민대학교 교수, 이재용 KB국민은행 최고정보보안책임자(CISO), 지정호 토스증권 CISO, 이성권 엔키화이트햇 대표 등 다양한 전문가들이 참여한다. 이들은 패널 토론을 통해 IT 장애의 원인·영향과 소프트웨어 공급망 보안체계의 취약점을 검토할 예정이다. 참가 희망자는 금융보안원 홈페이지 사전등록을 통해 세미나에 참석할 수 있다. 사전등록은 31일부터 가능하며 현장등록도 허용된다. 김철웅 금융보안원장은 "세미나를 통해 금융권 전체가 소프트웨어 공급망 보안체계의 중요성을 인식하고 철저한 대비책을 마련하기를 기대한다"고 밝혔다.

2024.07.31 16:35조이환

금융보안원 "안전한 금융 AI 선도한다"

안전한 금융 인공지능(AI) 활용을 선도하기 위해 금융보안원이 '금융보안 AI 워킹그룹'을 출범한다. 금융보안원은 여의도 사무소에서 19개 금융기관과 함께 AI 보안 정보 공유·공동과제 발굴을 위한 첫 회의를 개최했다고 25일 밝혔다. 이번 워킹그룹은 금융회사 보안·AI 담당자들의 협력을 통해 마련됐다. 이로써 AI 안전성과 신뢰성을 저해할 수 있는 다양한 보안 위협에 신속하게 대응할 계획이다. 또 이들은 금융회사의 의견을 수렴해 금융당국에 건의할 예정이다. 더불어 금융위원회 주관 '금융권 AI 협의회' 논의사항을 워킹그룹에 전파해 금융당국과의 연계를 강화할 계획이다. 첫 회의에서는 국내·외 AI 안전 프레임워크(AI Safety FRAMEwork) 동향, 금융 AI 모델 보안성 검증 체계, 금융분야 연합학습 활용방안 등 다양한 주제에 대한 활발한 논의가 진행됐다. 참석자들은 향후 금융권의 AI 기술 활용에 대한 관심과 투자가 증가할 것으로 전망했다. 김철웅 금융보안원장은 "기술 활용 전반에 걸쳐 안전성과 신뢰성을 확보하는 것이 매우 중요하다"며 "AI 활용에 따른 다양한 문제를 금융권이 함께 해결할 수 있도록 적극 지원하겠다"고 강조했다.

2024.07.25 18:34조이환

LGU+, 금융보안원과 보이스피싱 막는다

LG유플러스와 금융보안원이 신종 보이스피싱 악성앱 정보를 실시간으로 공유해 접속을 차단해 국민들의 피해를 막는 활동에 힘을 모으기로 했다. LG유플러스는 18일 서울시 강서구 마곡 LG사이언스파크에서 금융보안원과 '보이스피싱 예방 및 대응을 위한 업무협약(MOU)'을 체결했다. 업무협약에 따라 금융보안원은 365일, 24시간 운영 중인 '피싱사이트 보이스피싱 악성앱 탐지시스템'을 통해 얻은 정보를 실시간으로 LG유플러스에 공유할 예정이다. LG유플러스는 제공 받은 정보를 토대로 피싱사이트 및 보이스피싱 악성앱 유포지 접속을 원천적으로 차단, 국민 피해 예방에 나선다. 양 기관은 또 스미싱, 전화번호 가로채기 등 신종 보이스피싱에 대한 다양한 정보를 공유하고 관련 분야의 기술협력을 강화해 신종 사기 피해 대해서도 선제적으로 대응해 나가기로 했다. 금융보안원은 나날이 지능화되고 복잡해지는 보이스피싱에 효과적으로 대응하기 위해 '범금융권 보이스피싱 사기정보 공유체계'를 운영하고 있다. 이를 통해 금융, 공공, 통신, 보안 등 다양한 분야의 전문기관들과 보이스피싱 관련 정보를 실시간으로 공유하고 있다. 이번 업무협약을 통해 국내 3대 통신사 중 하나인 LG유플러스도 체계에 참여함으로써 보이스피싱 피해 예방 효과가 더욱 증대될 것으로 기대된다. 홍관희 LG유플러스 사이버보안센터장은 "갈수록 보이스피싱 공격의 피해가 심각해지고 있는 만큼, 이에 대응하기 위해 모든 기관이 힘을 모아야 할 시점”이라며 “앞으로 금융보안원과 긴밀한 협력을 이어가는 것은 물론이고, 전사적으로 노력을 기울여 '고객 피해 제로'를 달성해 나가겠다”고 말했다.

2024.06.19 09:50최지연

'금융사 앱·HTS 보안 취약점 찾아라'…버그바운티 운영

금융사 애플리케이션(앱)·홈트레이딩시스템(HTS)·웹사이트의 알려지지 않거나 조치방안이 없는 보안 취약점을 해결하기 위해 화이트해커 등을 대상으로 버그바운티를 운영한다. 금융감독원은 금융보안원과 오는 6월부터 8월 31일까지 대한민국 거주자 대상으로 집중신고 기간을 운영한다고 28일 밝혔다. 취약점 탐지 대상으로 은행·증권·보험 등 총 21개 금융회사가 참가하며 취약점을 찾는 공격자는 화이트해커·학생·그 외 일반인 등 대한민국 국민 누구나 참가 신청 및 승인 후에 참여할 수 있다. 신고된 취약점은 전문위원들의 평가를 거쳐 최대 1천만원의 포상금이 지급될 예정이며, 위험도가 높고 파급력이 큰 취약점의 경우 금융회사에 신속하게 전파해 보완할 계획이다. 금감원과 금보원은 앞으로 버그바운티를 지속 확대해 나간다. 보다 많은 금융회사들이 참여할 수 있도록 취약점 분석평가 업무 시 인센티브 부여 등 관련 내용도 함께 검토한다는 계획이다. 금감원 이복현 원장은 “버그바운티는 나날이 고도화 되어가는 사이버 위협에 대비할 수 있는 새로운 형태의 보안역량 강화 프로그램"이라며 "이번 기회를 통해 금융권의 보안 수준이 한층 더 강화되는 계기가 됐으면 한다"고 말했다.

2024.05.28 09:20손희연

IMF 총재에게 이메일을 받았다

국제통화기금(IMF)과 IMF 총재를 사칭한 피싱 메일이 유포되는 것으로 확인됐다. 누구에게 얼마나 유포된 지 확인할 수 없지만 지난 23일 기자는 IMF로부터 한 통의 이메일을 받았다. 이메일에는 매끄럽지 않은 한국어가 적혀 있었으며, 발신자는 '크리스탈리나 게오르기예바' IMF 총재로 되어 있었다. 내용은 '언급한 펀드에 대해 알려드린다' '장기 연체 금액을 즉시 해제하며 보류된 결제 금액이 (수신자의) 은행으로 즉시 이체되며, 즉시 연락을 해달라'이다. 즉, 어떤 연유에서 계좌를 쓸 수 없게 됐는데 IMF의 협조로 풀렸으며 동결된 돈을 주겠다는 것이다. 풀어주겠다고 하는 돈은 150만달러(20억5천200만원)이다. 만약 20억원이 있다면, 이 내용이 혹할 수 있다. 없더라도 받을 수 있음을 암시하고 있기 때문에 메일에 회신을 할 수도 있다. 하지만 이 메일을 받은 기자는 돈도 없을 뿐더러 받을 것이라고 확신하지 않아 회신하지 않다. 또 결론적으로 이는 피싱을 유인하기 위한 스팸 메일이기 때문이다. 실제 구글 사이트에서 해당 내용을 검색한 결과 일부 나라에서는 수 십 여명이 같은 내용의 메일을 통해 사기를 당했다는 뉴스가 소개되기도 했다. 스캐머뉴스에 따르면 바보같아 보이지만 속는 사람이 있다. 이와 관련해 보안업계에서는 장난같아 보이더라도 수상한 내용에 대해 답신하지 말거나 응대하지 말 것을 당부했다. SK쉴더스 관계자는 "피싱 공격은 지속적으로 발생해왔으며 특정인, 업무 관계자로 사칭하는 수법으로 고도화되고 있다"며 "메일에 포함된 링크나 첨부파일을 클릭하지 않아야 하며 기업에서는 피싱 메일을 복합적으로 탐지할 수 있는 보안 솔루션을 도입하는 것이 필요하다"고 조언했다.

2024.05.26 11:54손희연

금융보안원-KISA, 금융 사이버 침해사고 대응 맞손

정부가 금융 서비스 관련 사이버 위협 대응을 본격화한다. 금융보안원은 한국인터넷진흥원(KISA)과 손잡고 금융 분야 사이버 침해사고 대응 협력을 위한 업무협약을 체결했다고 14일 밝혔다. 최근 보안인증 소프트웨어(SW) 취약점을 악용한 PC해킹 및 악성코드 유포 사고 발생 등 금융 서비스와 관련한 사이버 위협이 증가하고 있다. 특히 지난해 해커가 온라인 쇼핑몰에 무단 로그인해 포인트 등을 탈취하는 크리덴셜 스터핑 공격이 다수 발생했다. 민간 기업의 침해사고가 사용자의 금전적 피해를 유발하는 등 다양한 분야에 걸친 침해사고로 광범위한 피해 사례가 확인되고 있다. 금융 분야 해킹사고는 국민들의 금전피해를 유발하는 민감한 사안으로, 담당 기관 간의 공조 및 유기적인 협력을 통해 철저한 대응이 요구된다. 이에 금융 분야 침해사고 대응 기관인 금융보안원은 인터넷·정보보호 전문기관인 KISA와 함께 금융권의 사이버 위협에 공동으로 대응하기 위해 업무협약을 추진했다. 두 기관은 앞으로 금융분야 관련 ▲신규 보안 취약점 발굴 협력 및 상시 정보 공유 ▲침해사고 합동 조사 및 원인 분석‧대응 공조 ▲사이버 위협 정보 상호 공유 등을 위해 협력한다. 올해 2월 금융보안원이 금융분야 SW 글로벌 취약점 관리번호(CVE) 번호 발급기관(CNA, CVE)으로 신규 지정됨에 따라 18년부터 CNA로 활동해온 KISA와 취약점 분석‧평가 및 데이터베이스(DB) 운영 등 취약점 관리 체계 구축 전반에서 협력을 강화할 예정이다. 이번 협약을 계기로 두 기관은 국가 취약점을 관리하는 대표기관으로서 국제적 위상을 높일 방침이다. 최신 악성코드 및 주요 해킹조직의 활동 추적 등 위협정보도 상시 공유한다. 가상자산 등 금융 분야 해킹사고 발생 시 두 기관의 전문성을 결합한 합동조사를 통해 신속하고 정확한 원인 분석 대응 등 국민 피해 방지를 위해 최선을 다할 것이라고 밝혔다. 김철웅 금융보안원 원장은 "이번 협약을 통해 국경을 초월하는 사이버 침해위협에 선제적으로 대응할 수 있는 공조 체계가 만들어질 것"이라며 "국가 사이버 안보를 한층 더 강화하는데 기여할 수 있을 것"이라고 밝혔다. 이상중 KISA 원장은 "최근 금융 산업의 발전과 함께 진화하는 다양한 사이버 위협에 효과적으로 대응하기 위해서는 무엇보다 산업 간의 협력이 중요하다"며 "이번 업무협약을 통해 금융 분야 사이버 위협 대응 공조 등 국민의 안전한 금융서비스 이용을 위해 유관기관과 협력을 지속적으로 강화해 나가겠다"고 말했다.

2024.05.14 17:21김미정

세일즈포스, 금융보안원 CSP 안전성 평가 완료

세일즈포스코리아는 금융보안원의 클라우드 서비스 제공 업체(CSP) 대상 안전성 평가를 완료했다고 9일 밝혔다. 평가 대상은 세일즈포스의 '하이퍼포스'다. 세일즈포스는 작년 국내에서 차세대 클라우드 플랫폼인 하이퍼포스의 서비스를 공식적으로 시작함에 따라 민감 데이터를 다루는 금융, 공공, 의료, 통신 산업 등의 고객을 위해 다양한 퍼블릭 클라우드상에서 세일즈포스 CRM 플랫폼을 구축 및 운영할 수 있도록 지원한다. 세일즈포스에 따르면 하이퍼포스는 더 강력해진 안정성, 유연성, 확장성, 보안성을 기반으로 세일즈포스 운영 안전성 향상에 기여하며, 한국 내 데이터 레지던시 확보를 지원한다. 엄격한 데이터 보안 규정을 요구하는 일부 산업의 기준에 부합하는 제로 트러스트 원칙과 암호화 키를 포함한 보안 및 데이터 스토리지 서비스를 제공하고 있다. 세일즈포스는 이번에 금융보안원의 CSP 안전성 평가를 마친 하이퍼포스를 기반으로 국내 금융 기업의 고객경험 혁신과 조직의 생산성 향상을 위해 필요한 데이터 스토리지 역량을 확보했다. 각종 규제로 인해 디지털 기술 활용에 제약이 있었던 국내 금융 산업에서의 성장과 생태계 확장에도 박차를 가할 예정이라고 전했다. 세일즈포스는 현재 '신뢰'를 최우선 기업 가치로 삼고 고객 데이터 보안 및 부적절한 데이터 노출 방지를 위한 다중인증(MFA)과 시스템 투명성을 위한 트러스트닷컴 웹사이트를 운영하고 있다. 세일즈포스에 따르면, 태블로를 도입한 토스뱅크, KB국민은행 등의 국내 금융기관뿐만 아니라, US뱅크, 스페인계 은행 산탄데르 영국 지사, 신용협동조합 펜피드, 브라질 최초 은행 인터 등의 글로벌 금융 기업들이 세일즈포스와 디지털 혁신 여정을 함께하고 있다. 세일즈포스코리아 손부한 대표는 “세일즈포스는 이번 CSP 안전성 평가를 완료함에 따라 국내 금융, 교육, 공공 의료 등 보안 및 데이터 안전성이 강조되는 산업군 대상의 지원을 강화할 수 있는 역량과 경쟁력을 확보했다”며 ”앞으로도 세일즈포스는 신뢰할 수 있는 AI CRM 솔루션을 통해 국내 기업이 겪고 있는 디지털 혁신 여정 간의 진입장벽 해소와 더불어, 금융권을 포함한 다양한 산업의 디지털 혁신을 지원하기 위한 노력을 아끼지 않겠다”고 밝혔다.

2024.05.09 14:46김우용

KTR, 신용카드 결제단말 시험기관 지정

KTR(한국화학융합시험연구원·원장 김현철)이 여신금융협회로부터 신용카드 결제단말 보안성 등을 시험하는 시험기관 지정을 받았다고 8일 밝혔다. 이에 따라 신용카드 단말기 제조기업은 KTR의 보안 시험을 거쳐 적합 여부를 확인받고 신용카드 단말기를 금융위원회에 등록할 수 있게 됐다. 소비자들이 신용카드 가맹점 결제시 사용되는 CAT(Credit Authorization Terminal), POS(Point of Sale), 카드리더(Card Reader) 등과 같은 단말은 여신전문금융업법에 따라 가맹점 등록·사용 전에 의무적으로 금융위원회에 등록해야 한다. 또 금융위 등록을 위해서는 지정 시험기관에서 정보보호 기술기준에 따른 신용카드 위변조 및 고객 금융정보 보호 등의 적합 여부를 검증받아야 한다. KTR의 이번 신용카드 단말 보안성 시험기관 지정으로 기존 2곳에 불과하던 시험기관이 3곳으로 늘어 관련 기업의 시험 병목현상 해소에 도움이 될 전망이다. 여신금융협회의 이번 기관지정은 6년 만에 이뤄졌다. 기존 TTA·KSEL 등 시험기관에 이어 KTR이 보안시험을 수행할 수 있게 됨에 따라 시험 수요가 분산돼 기업들의 대기 시간이 줄어들 전망이다. 김현철 KTR 원장은 “이번 시험기관 지정으로 모든 국민이 사용하는 신용카드 결제 서비스의 안전성과 신뢰성 제고에 기여하게 됐다”며 “앞으로도 소프트웨어 보안 시험인증 경쟁력을 더욱 높여 생활속 안전과 편의성 확보를 도울 것”이라고 밝혔다. 한편, KTR은 정부 지정을 받은 우수소프트웨어 인증(GS인증)기관 및 정보보호제품평가 인증(CC인증)기관으로서 정보보호시스템과 소프트웨어 안전성 및 품질 제고를 지원하고 있다.

2024.05.08 17:09주문정

"AI 활용 보안 문제 혁신적 해결"…금보원, AI 아이디어랩 공모전

금융보안원과 코드게이트보안포럼이 창의적인 인공지능(AI) 아이디어 발굴에 나선다. 금융보안원은 '코드게이트 AI 아이디어랩 공모전'을 개최한다고 30일 밝혔다. 이번 공모전은 보이스피싱, 딥페이크·딥보이스, 전자상거래, SNS 투자 사기, 디지털 범죄, 웜GPT와 같이 산업, 문화, 경제 등 사회 전반에 걸쳐 발생할 수 있는 보안 문제를 해결하는 데 필요한 AI 활용 기술이나 서비스 아이디어를 받는다. 참가 자격에 대한 제한은 없으며, 개인 또는 4인 이하의 팀을 구성해 참가할 수 있다. 심사는 1차(서류 및 기획서 평가), 2차(예선), 3차(본선)로 나눠지며, 정보보호 및 AI 분야 전문가들이 심사위원으로 참여해 우수 아이디어를 선별한다. 김철웅 금융보안원 원장은 "금융 분야에 AI 기술 접목이 지속 확대되는 만큼 이번 공모전이 AI가 금융혁신뿐만 아니라 소비자 보호 수준도 높일 수 있음을 보여주는 계기가 되기를 바란다"고 밝혔다.

2024.04.30 13:55이한얼

금융보안원, '락드쉴즈 2024' 참가…국제 사이버戰서 역량 뽐내

금융보안원이 지난 22일부터 북대서양조약기구(NATO)가 개최한 '락드쉴즈 2024'에서 높은 수준의 사이버 공격 역량을 뽐냈다. 금융보안원은 '락드쉴즈 2024'에 3년 연속 참여해 유의미한 성과를 얻었다고 29일 밝혔다. 락드쉴즈 훈련은 나토 회원국 간의 사이버 위기 대응 능력을 강화하기 위해 매년 개최하고 있다. 우리나라는 올해 국가정보원을 중심으로 금융보안원을 포함한 국방부·한국전력공사 등 민·관·군 11개 기관, 80여 명이 훈련에 참여했다. 금융보안원은 이번 훈련 참여를 위해 사이버공격 방어 전문가로 구성된 17명의 최정예 직원을 선발해 참가했다. 이번 훈련에서는 공세적 방어 전략에 방점을 둬 최정예 화이트해커로 구성된 RED IRIS 소속 직원들이 취약점을 찾아 선제적으로 대응했다. 또 디지털 포렌식 챌린지 등 공격 경로 및 방식 등을 살펴 다양하게 시도된 사이버 공격에 대해서 주도적으로 방어했다. 공격팀으로부터 가상의 디지털정부플랫폼 등 주요 민간 인프라를 대상으로 홈페이지 위변조, 악성코드 전파 공격 등을 실시간으로 대응했다. 침해지표 등을 활용해 위협대상을 식별하는 등 전문적인 사이버공격 방어 역량을 선보였다.

2024.04.29 11:45이한얼

자비스앤빌런즈, 'AI 보안 업체' S2W와 MOU 체결

'삼쩜삼'을 운영하는 자비스앤빌런즈가 인공지능(AI) 보안업체인 'S2W'와 서비스 보안 강화 및 AI 시스템 구현을 위한 전략적 업무협약(MOU)'을 체결했다고 22일 밝혔다. 개인정보 보호와 사이버 보안을 강화하고, 생성형 AI를 활용한 신사업에도 적극 협력하기로 했다. S2W는 카이스트(KAIST) 네트워크 보안 전문 연구진을 주축으로 지난 2018년 설립돼 다크웹과 랜섬웨어, 피싱과 스미싱 등 온라인상의 사이버 위협을 탐지하고 분석·대응하는 기술을 보유하고 있다. 현재 인터폴(국제형사경찰기구)을 비롯한 국내외 주요 기관 및 금융·통신 업체 등과 협업 중이다. 자비스앤빌런즈 김범섭 CEO는 “고객들에게 안전한 삼쩜삼 플랫폼을 제공하는 동시에 AI 신사업 발굴에도 적극 협력하겠다”고 밝혔다.

2024.04.22 15:12손희연

금융보안원, 금융사기 수법 심층 분석…인텔리전스 보고서 공개

금융보안원은국내 신용카드 정보가 탈취되고 부정결제까지 이어지는 신종사기를 면밀히 분석한 보고서를 발간했다. 금융보안원은 이같은 내용을 담은 사이버위협 인텔리전스 보고서 2편을 22일 공개했다. 오퍼레이션 마이다스는 120여 종의 불법 HTS(홈트레이딩시스템) 프로그램 및 인프라를 분석했다. 불법 HTS 사기조직의 투자자 유인 수법부터 거액의 투자금 편취까지 이어진 범죄수법의 전반을 밝혀냈다. '오퍼레이션 포이즌애플'은 피싱페이지가 삽입된 국내 중·소규모 쇼핑몰 50여 곳을 통해 신용카드 정보가 탈취되고 부정결제까지 이어지는 신종사기를 면밀히 분석했다. 김철웅 금융보안원 원장은 "이번 분석은 검·경 등 유관 기관과의 긴밀한 협조를 통해 범죄조직 검거까지 이뤄낸 좋은 사례"라면서 "앞으로도 금융소비자 피해를 최소화하기 위해 금융사기 관련 위협을 지속적으로 모니터링하고 분석하여 이를 신속히 금융회사와 유관 기관에 공유할 것"이라고 밝혔다.

2024.04.22 12:18이한얼

스틸리언, 인니서 보안 수출 물꼬…금융 기업에 앱수트 공급계약

국내 보안 기업 스틸리언이 아세안(ASEAN) 수장국 인도네시아에서 보안 분야 수출 물꼬를 텄다. 스틸리언은 인도네시아 금융기업 아디라 파이낸스(Adira Finance)에 모바일 앱 보안 통합 솔루션 '앱수트 프리미엄'을 공급한다고 16일 밝혔다. 아디라 파이낸스는 주로 자동차 금융·리스 서비스를 제공하는 금융 기업으로, 인도네시아 멀티 파이낸스(Multi Finance) 분야 1위 기업이다. 아디라 파이낸스는 이번 계약으로 10개 모바일 앱에 스틸리언의 앱수트 프리미엄을 도입한다. 앱수트 프리미엄은 위변조 방지, 소스코드 난독화·암호화 등 다양한 보안 기능을 제공한다. 이를 통해 아디라 파이낸스는 각종 해킹 공격으로부터 모바일 앱을 보호하고, 사용자의 중요 정보 유출 방지를 강화할 방침이다. 특히 이번 계약은 인도네시아 시장 확대에 중요한 발판을 마련할 수 있을 것으로 기대된다. 스틸리언은 이번 계약을 계기로 앞으로 인도네시아 현지 금융권 레퍼런스 확보에 속도를 낼 계획이다. 홍혁재 스틸리언 인도네시아 법인장은 "인도네시아를 포함한 아세안 지역은 떠오르는 신흥 보안 시장"이라며 "이번 공급 계약을 발판삼아 신규 판로 개척에 적극 나서 지속적인 매출 성장을 이루겠다"고 말했다.

2024.04.16 14:32이한얼

망분리 문제 공론화 확산…금융권, "AI·클라우드 전환 위해선 개선 절실"

국가정보원이 오는 9월 망분리 문제 개선을 위한 로드맵을 발표키로 한 가운데 금융당국도 망분리 문제 해결을 위해 본격적으로 팔을 걷어붙였다. 그간 인공지능(AI)과 클라우드 환경을 저해하는 문제로 지적돼온 만큼 망분리 규제 개선에도 속도가 날 전망이다. 금융위는 지난 12일 '금융 부문 망분리 태스크포스(TF) 1차 회의'를 개최하고 금융사 정보시스템에서 비(非)전자금융거래업무와 전자금융거래업무를 분리 구성·운영하는 안을 검토키로 했다. T/F를 통해 논의된 과제를 모아 상반기 중 '금융부문 망분리 규제 합리화 방안'을 마련하고 이후 필요한 후속조치도추진해 나간다는 게 이번 회의의 골자다. 앞서 금융위는 지난달 '금융권 AI 협의회'를 발족하고 망분리 등 문제를 개선하고 AI시대를 준비하겠다고 공언한 바 있다. 이번 회의에서 도출된 내용들 역시 금융권이 망분리 문제를 개선하기 위한 첫 발을 뗀 것이라는 평가다. 망분리 문제에 대한 금융권의 규제 개선 목소리는 지속 존재해왔다. 망분리의 핵심은 단일망이 아닌 망과 망의 분리를 통해 보안을 도모하고자 함인데 금융 분야가 최근 클라우드, AI 시스템으로 전환되면서 망분리가 금융권의 경쟁력을 저해한다는 비판이었다. 실제 시중은행인 KB국민은행, 신한은행, 하나은행 등이 클라우드 서비스 도입에 박차를 가하는 데다 카카오뱅크는 IT 전산 인프라에 클라우드를 최초로 도입한 바 있다. 일각에서는 정부가 추진해온 망분리가 금융시스템을 보호하는 데 기여했다는 평가를 하지만 디지털 전환이 가속화된 지금 시점에선 구시대의 유물이라는 논리다. 실제 금융권의 대표적 정책 연구소인 금융연구원은 망분리와 관련해 해외 사례와 국내 사례를 비교 분석하는 용역에 착수했다. 특히 보안 분야에서 무결점을 뜻하는 제로트러스트가 화두가 되면서 망분리 문제를 개선해도 보안 문제가 발생하지 않을 거라는 낙관론을 근거로 제시하기도 했다. 이번 금융권의 망분리 규제 개선 행보는 국가정보원이 추진 중인 망분리 규제 개선과도 맥을 같이 한다. 국정원은 망분리 정책을 개선한 다중계층보안(MLS) 로드맵을 오는 9월 발표할 예정이다. 국정원이 큰 틀에서 망분리 정책을 조율한다면 금융위에서는 금융 산업에 특화된 선제적인 망분리 대책을 도모하겠다는 것이다. 금융 업계 한 관계자는 "클라우드와 AI가 이미 금융업계의 대세가 돼 있는 상황에서 해묵은 망분리 정책을 고수하는 건 글로벌 트랜드를 역행하는 꼴"이라면서 "업계에서도 망분리 대책을 위한 후속 작업을 다같이 논의하는 상황"이라고 귀띔했다.

2024.04.15 15:07이한얼

KB국민카드, 카드 발급도 더 '안전하게'

KB국민카드가 안랩과 손잡고 카드발급 신청 시 고객의 스마트폰이 바이러스나 피싱 앱 등 악성코드에 감염되어 고객정보 유출이 의심되는 경우 자동으로 카드발급을 차단하는 '세이프(Safe) 거래 서비스'를 오픈했다고 9일 밝혔다. 고객이 모바일 웹 채널로 카드를 신청하게 되면 안랩 'V3 모바일 플러스'가 작동되어 바이러스나 피싱앱, 원격제어 툴 등 악성코드 감염 여부를 탐지한다. 이를 통해 악성코드 감염 등 위험 발견 시 자동으로 카드발급 절차를 중단하며, 안전하다고 판단되는 경우에 한해 고객이 요청한 금융거래를 허용하는 방식이다. KB국민카드는 안랩이 수집한 신종 바이러스 정보, 악성코드 정보를 실시간으로 제공받아 보안 강화에 활용할 예정이며, VPN(가상사설망) 등을 악용한 이상 접근 등 날이 갈수록 고도화되는 보안 위협에도 발빠르게 대응할 계획이다. KB국민카드 관계자는“글로벌 통합보안 기업 안랩의 V3 모바일 플러스와 함께 제공하는 이번 서비스로 더욱 안전한 비대면 금융거래 환경을 제공할 수 있게 됐다.”며 “향후에도 지속적인 보안 솔루션 강화 등 소비자보호를 위한 다양한 서비스를 선보일 것”이라고 밝혔다.

2024.04.09 13:39손희연

금보원, 1차 금융보안자문위 회의 개최

금융보안원이 금융보안 현안 사항 공유와 선진 정책 도출을 모색하는 자리를 가졌다. 금융보안원은 2024년 금융보안자문위원회를 구성해 제1차 전체회의를 개최했다고 8일 밝혔다. 회의에서는 금융권의 주요 현안 사항인 ▲금융보안 규제 선진화 ▲금융권 소프트웨어(SW) 공급망 보안 ▲AI 활용 활성화 등에 대해 다양한 시각에서 조언할 수 있는 신규 위원 6명을 위촉했다. 위촉된 신규 위원은 ▲임종인 대통령실 사이버특별보좌관 임종인 특보 ▲김한성 (前)사이버작전사령부 사령관 ▲윤성범 (前)미래에셋증권 전무 ▲이원태 (前)한국인터넷진흥원장 ▲하재철 한국정보보호학회장 ▲조영철 한국정보보호산업협회장 등이다. 이날 회의는 ▲금융보안 규제 선진화 ▲금융권 S/W 공급망 보안 대응 ▲AI 활용 활성화 정책 지원 등과 관련한 현안과 향후 전략 등이 심도 깊게 논의됐다. 김철웅 금융보안원 원장은 "안전한 금융환경 조성을 위한 미래전략 수립 시 금융보안원이 올바른 방향으로 나아갈수 있도록 금융보안자문위원들이 나침반 역할을 해줄 것으로 기대한다"고 밝혔다.

2024.04.08 15:33이한얼

"금융보안 분야 증진"...제8회 금융보안원 논문공모전 개최

금융보안원이 디지털 금융과 금융 보안 분야를 증진하기 위해 우수 논문 발굴에 나선다. 금융보안원은 금융위원회, 금융감독원 등 정보보호 유관기관과 함께 '제8회 금융보안원 논문공모전'을 개최한다고 1일 밝혔다. 공모전은 지난 2017년 이래 매년 논문공모전을 개최(총 7회)해 총 45편의 우수 논문을 선정·시상했다. 수상 논문은 금융회사 및 유관기관이 관련 업무 추진 시 연구자료로 활용할 수 있도록 관리 및 공유되고 있다. '제8회 금융보안원 논문공모전'은 4월부터 8월까지 전 국민을 대상으로 다양한 시각과 인사이트를 담은 논문을 공모한다. 창의적, 학술적 가치, 금융정책 기여 및 금융산업 적용 가능성이 높은 논문 8편을 선정해 총 2천200만원 규모의 상금과 금융위원장상, 금융감독원장상, 금융보안원장상 등의 특전을 수여할 계획이다. 김철웅 금융보안원 원장은 "논문공모전을 통해 금융보안 현장에 접목될 수 있는 다양한 연구주제가 발굴되기를 기대한다"며 "이번 공모전이 디지털금융에 대한 이해를 높이고 금융보안 연구를 촉진하는 계기가 될 수 있도록 많은 이들의 적극적인 관심과 참여를 바란다"고 밝혔다.

2024.04.01 14:39이한얼

금보원-국자원, 사이버보안 공조·디지털 신기술 MOU 체결

금융보안원이 국가정보자원관리원과 사이버보안 강화를 위해 손을 맞잡았다. 금융보안원은 국가정보자원관리원과 '사이버보안 공조 및 디지털 신기술의 안전한 활용 등을 위한 업무협약(MOU)'을 체결했다고 26일 밝혔다. 이번 협약을 통해 양 기관은 ▲사이버위협 정보 공유 ▲침해사고 예방 및 대응 ▲디지털 신기술의 안전한 활용 등을 위해 상호 협력 관계를 구축·강화하기로 했다. 김철웅 금융보안원 원장은 "글로벌 사이버 위협에 철저히 대응하기 위해 국가 간-권역 간 유기적 협력체계 구축이 매우 필요한 시점"이라면서 "이번 협약은 금융보안 부문과 정부전산행정 부문이 상호 협업을 통해 국가사이버위협 대응능력을 한층 더 강화할 수 있는 계기가 될 수 있다는 점에서 의의가 크다"고 밝혔다.

2024.03.26 17:38이한얼

디지털 혁신 나선 금융권, 정보보호 관리 강화…ISMS-P 인증 '급증'

지난 2019년 인증제도가 통합 개편된 후 정보보호 관리체계(ISMS) 인증 건수가 최근 급증한 것으로 나타났다. 금융의 디지털 혁신 가속화에 발맞춰 정보보호 관리체계 운영의 중요성이 점차 부각되는 분위기다. 21일 금융보안원에 따르면 지난해 101개 금융회사에서 총 118건의 ISMS 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받은 것으로 나타났다. 2019년 대비 지난해 ISMS·ISMS-P 인증을 받은 건수는 약 40% 늘었다. 올해는 디지털 금융혁신의 가속화, 자율보안체계 확산, ESG 경영 강화 등으로 금융회사의 인증 수요가 대폭 증가할 것으로 보인다. 금융보안원은 전년 대비 10% 증가한 130건의 인증심사를 수행할 계획이다. 이에 맞춰 금융보안원은 오는 28일 화재보험협회에서 ISMS-P에 대한 활발한 참여를 지원하기 위해 인증 취득 기관과 인증심사원을 대상으로 금융 ISMS-P 인증 세미나를 개최한다. 김철웅 금융보안원 원장은 "금융서비스의 대외 공신력을 제고하고 금융소비자의 신뢰를 확보할 수 있도록 금융분야에 적합한 인증체계를 발전시키고 금융회사들의 인증 취득을 적극적으로 지원해 나갈 것"이라고 밝혔다.

2024.03.21 10:20이한얼

'일회용 인증코드' 제로 트러스트 핵심 인프라로 만든다

디지털 전환을 넘어 AI 트랜스포메이션 시대입니다. 디지털 인프라의 근간은 사이버 보안입니다. 급변하는 환경 속에서 언제나 변화해야만 살아남는 방패를 만드는 사람들. 창의적인 아이디어와 기술로 안전한 사이버 세상을 만들고 신뢰 기반을 쌓는 사람들. 사이버 보안 전문가들과 대화에서 최신 기술과 인사이트를 전달합니다. [편집자주] 제조 공장에서 운영되는 자동제어시스템(PLC). 공장 직원이 PLC 관리를 위해 사용자 로그인을 한다. PLC 시스템 한대를 직원 여러명이 작동시킨다. ID와 비밀번호는 1개다. 내부 인력은 ID와 비밀번호를 공유하고 심지어 외부 인력에게도 이 내용을 알려준다. 산업 현장에 디지털 전환이 가속화되면서 제조 공장에 PLC 사용이 증가했다. PLC는 각종 센서에서 받아들인 신호를 기반으로 장비를 움직이는 역할을 한다. 이같이 중요한 장치의 로그인 정보가 허술한 보안 관리에 놓인 경우가 많다. 센스톤(대표 유창훈)은 단방향 다이내믹 인증기술로 이런 위험을 줄인다. 인가된 사용자에게 매번 바뀌는 인증 코드를 제공한다. 비인가자가 PLC에 무단으로 접속하는 것을 막는다. 로그인 비밀번호를 외울 필요도 없고 유출돼도 인증되지 않는다. 클라우드 서비스 가속화로 '사용자 인증'이 핵심으로 떠올랐다. 아무도 믿지 말고 항상 검증하라는 '제로 트러스트' 아키텍처를 구현하려면 강력한 '사용자 인증'이 기반돼야 한다. 센스톤은 사람과 기기, 가상세계까지 안전하고 간편하게 사용자를 식별하는 OTAC(One-Time Authentication Code)를 개발했다. 센스톤을 이를 '단방향 다이내믹 인증 기술'로 부른다. 이 기술은 통신이 안되는 환경에서도 실시간으로 매번 변경되는 일회성 인증 방식을 제공한다. 사용자와 기기를 동시에 인증한다. 생성된 인증 코드는 중복되지 않는다. 유창훈 대표는 "센스톤은 지금까지 전혀 찾아볼 수 없던 새로운 인증방식인 OTAC를 개발했다"면서 "기존 인증 방법의 한계를 뛰어 넘는 새로운 기준을 제시한다"고 말했다. 센스톤이 기존과 다른 인증방식을 개발한 건 유 대표의 다양한 경험에 기반한다. 유 대표가 이런 기술을 개발하려했을 때 기존 연구자들은 어렵다고 손사레를 쳤다. 그는 포기가 아니라 단방향 다이내믹 인증 기술을 구현할 창의적인 생각을 멈추지 않았다. 유 대표는 암호학도 컴퓨터공학도 아닌 조선공학과 출신으로 OTAC 알고리즘 설계 아이디어를 영화 인터스텔라의 한 장면에서 얻었다고 설명했다. ■ OTP와 QR코드 단점을 없앴다 센스톤이 개발한 OTAC은 인터넷뱅킹 등을 할 때 사용하는 일회용비밀번호(OTP)나 QR코드와 비슷해 보이지만 다르다. 유 대표는 "OTP는 로그인 후에 2차 인증으로 주로 사용한다. 시스템은 OTP를 입력하면 사용자가 누구인지 구별할 수 없다"고 설명했다. 이어 "QR코드도 양방향 통신을 해야 한다. 통신이 제약된 환경에서 쓸 수 없다"고 덧붙였다. OTAC은 QR코드와 달리 통신이 안되는 환경에서도 매번 바뀌는 다이내믹 코드를 생성하고 이를 기반으로 인증한다. OTP와 달리 사용자를 구별할 수 있다. 생성된 코드는 일회성으로 특정 시간대에 특정 사용자만이 사용하도록 허용된다. 다른 사용자에게 유출돼도 안심할 수 있는 이유다. OTAC를 생성하고 검증하는 모듈 사이즈는 4KB 미만이다. 스마트폰은 물론이고 스마트카드 칩에 OTAC를 넣을 수 있는 초소형 알고리즘 사이즈다. 0.4초 미만으로 연산을 끝낸다. 유 대표는 "스마트폰 유심부터 스마트카드칩, 사물인터넷(IoT) 기기 등에 모두 넣을 수 있는 크기로 구현했다"면서 "사용자 인증이 필요한 다양한 산업 적용 가능하다"고 말했다. ■ 신용카드부터 스마트홈, PLC까지 센스톤은 OTAC 적용 범위를 확대하고 있다. OTAC를 처음 적용한 분야는 신용카드였다. 신용카드 정보 유출로 인한 피해를 막기 위해 사용할 때마다 변하는 카드 번호를 제공했다. 지문인식카드에 OTAC를 접목한 생체 인증 디스플레이 카드다. 일반 결제용 카드에 지문 인식 기능과 OTAC 알고리즘이 함께 탑재됐다. 카드는 사용자의 지문이 인식될 때만 카드번호, 유효기간, CVC 등의 일회성 정보를 생성한다. 토스뱅크의 체크카드에도 센스톤 기술이 들어갔다. 유 대표는 "1초당 1217개 새로운 사물인터넷(IoT)이 인터넷에 연결되는데 이들은 5분 이내 사이버 공격에 노출된다"면서 "사양이 낮은 IoT를 보호할 가벼운 인증이 필요하다"고 설명했다. 해커는 IoT 펌웨어를 조작해 악성코드를 감염시켜 좀비로 악용한다. IoT에 OTAC를 적용하면 비인가 시스템에서 전송되는 명령이 실행되지 않아 불법 소프트웨어 다운로드를 원천 차단할 수 있다. 센스톤은 운영기술(OT)까지 적용 분야를 확대했다. 통신이 원할하지 않은 제조 환경에서 PLC를 안전하게 운영할 수 있는 인증을 제공한다. 이 회사는 글로벌 PLC 선도기업인 독일 피닉스컨택트(Phoenix Contact)의 디지털 소프트웨어 마켓플레이스 PLC넥스트스토어(PLCnext Store)에 모듈형 사용자 인증 고도화 솔루션 'OTAC auth - MFA for PLCnext'를 정식 출시했다. ■ AaaS(Algorithm as a Service) 시장 연다 센스톤은 인증 알고리즘을 서비스하는 기업으로 도약을 노린다. 센스톤은 금융과 기기 인증 이어, OT영역에서 새로운 기회를 발굴해 2024년 하반기 기술특례 상장을 목표로 한다. 유 대표는 "인증에 사용되는 공개키기반구조(PKI)가 상용화된지 20년이 지났다"면서 "2017년 개발한 OTAC는 이제 AaaS(Algorithm as a Service)로 진화할 것"이라고 강조했다.

2024.02.21 13:55김인순

ZDNet 검색 페이지

'금융 보안'통합검색 결과 입니다. (81건)