"2023 디지털 금융과
사이버 보안의 모든 것"

각종 컴퓨터 기술이나 보안에 대해 관심이 있으신 분들은 간혹 소프트웨어 기업들이 ‘제로데이’ 취약성이나 이용에 관한 발표를 하는 것을 들어본 적이 있으실 거예요. 특히 구글에서는 올해 들어 8번이나 제로데이 취약점을 해결하기 위해 크롬 웹브라우저의 데스크톱 버전 긴급 보안 업데이트를 출시한 바 있죠.

‘제로데이(zero day 또는 0day로 표기)’란 운영체제(OS)나 네트워크 장비 등의 ‘보안 취약점을 발견하고 이를 막을 수 있는 패치가 나오기 전에 그 취약점을 이용한 악성코드나 프로그램을 제작해 공격하는 수법을 말하는데요. 구글의 보안 드림팀 ‘구글 프로젝트 제로(Google Project Zero)’에 따르면 2021년에는 무려 58가지의 제로데이 취약점을 발견했으며, 2022년 상반기에도 20여 개의 취약점이 발견됐다고 해요. 그리고 같은 제로데이 취약점은 주로 국가가 후원하는 단체와 랜섬웨어 공격 단체가 악용하는 것으로 나타났죠.

이처럼 사상 최대의 제로데이 취약점과 엔데믹 취약점 등 보안 위협이 가속화되는 가운데 최근, 이에 대한 대응을 모색할 수 있도록 ‘2023년 디지털금융과 사이버보안 분야에서 주목해야할 10대 이슈’가 선정돼 발표됐어요.

다가올 2023년, 우리는 과연 어떤 부분을 더욱 주목해 봐야 할까요? 함께 알아보도록 하겠습니다!

2023 디지털금융 및 사이버보안 이슈 전망

금융보안원이 선정한 이번 <디지털금융 및 사이버보안 이슈 전망> 은 금융회사 디지털금융·보안 업무 종사자를 비롯해 산·학계 전문가, 국외 연구기관 등 분야별 전문가의 의겸을 수렴한 △보안 위협 및 대응 △디지털 신기술 및 리스크 △컴플라이언스 및 전략 등 3가지 분야 아래 총 10개의 이슈를 다루고 있어요.

또한 이를 통해 최신 디지털금융 및 사이버보안 이슈를 알기 쉽게 설명했으며, 금융권이 선제적으로 대응할 수 있도록 전망과 대응 전략을 제시하고 있죠.

| 보안 위협 및 대응 분야

① 사이버 공격 경로로 악용될 수 있는 엔데믹 취약점

최근 제로데이 취약점이 사상 최대로 발견되는 가운데, 일부 취약점은 시스템에 남아 지속적으로 영향을 미치는 ‘엔데믹 취약점’으로 지목됐어요. 때문에 사용하는 소프트웨어와 관련하여 발표되는 보안 취약점을 지속적으로 모니터링하고 최신 보안 업데이트 발표 시 이를 신속하게 패치해 주는 것이 중요해요. 또한 보다 효과적인 보안 취약점 관리를 위해서 기관과 국가 차원의 제도 수립도 고려해 볼 필요가 있죠.

② 랜섬웨어, 피싱 앱 등 사이버 위협의 끝없는 진화

최근 전 세계적으로 협박 및 갈취 범위를 확대하는 랜섬웨어 공격이 활발해요. 한국형 랜섬웨어도 지속적으로 탐지되고 있고요. 전화 수신 위장 등으로 기능을 강화한 보이스피싱 악성 앱도 기승을 부리고 있죠.

이처럼 진화하는 사이버 위협에 대응하기 위해서는 보다 적극적인 침해 사고 대응훈련과 정보 공유 참여가 이뤄져야 해요. 그뿐만 아니라 최소 권한 접근, 보안 가시성 확보 등에 기반한 '제로 트러스트'로의 보안 패러다임 전환이 이뤄질 필요가 있죠.

③ 오픈소스 이용 활성화와 강조되는 공급망 보안

오픈소스는 소프트웨어 개발 기간 및 비용 단축 등의 이점을 제공함에 따라 디지털 전환의 필수 재료로 손꼽히며 애플리케이션에도 광범위하게 활용되고 있어요. 하지만 한편으로는 누구나 접근 가능할 뿐 아니라 검증 없이 재사용 되는 경우가 많아서 이를 악용하거나 공격하는 사례도 증가하고 있죠. 아울러 디지털 시대가 확장되면서 소프트웨어 공급망 공격*이 중요 사이버 이슈로 부상하고 있는데요.

* 소프트웨어 공급망 공격: 소프트웨어의 개발, 배포, 설치, 유지 보수 과정에 개입하여 변조된 소프트웨어가 사용자의 시스템에 전달되도록 하는 공격

앞으로 디지털 전환이 가속화됨에 따라 소프트웨어 공급망 공격 또한 심화될 것으로 전망되는 만큼, 소프트웨어 구성 요소를 빠짐없이 식별하고, 보안 취약점, 출처 및 이력, 라이선스 의무 등을 체계적으로 관리해야 할 것입니다.

④ 디지털자산의 당면과제, 리스크 관리체계 마련

최근 디지털자산의 이용이 활성화되고 가치가 상승하면서 이를 노린 사이버 공격이 급증하고 있어요. 이에 따라 국내외 규제당국을 중심으로 디지털자산에 대한 규제 논의가 진행되고 있는데요. 국내의 경우, 글로벌 규제 정합성을 고려해서 시장 안정, 이용자 보호, 규제 차익 방지 등을 중점적으로 포함할 것으로 전망돼요. 또한 디지털자산의 발행·유통 전 과정에서의 안정성 확보(사이버 리스크 관리, 내부통제 등)를 포함한 디지털자산 시장 규율체계 마련 방안이 논의될 것으로 예상된답니다.

따라서 평소 디지털자산 관련 글로벌 입법 동향을 지속적으로 모니터링하고, 새롭게 마련되는 법적 요구사항에는 즉각 대응할 수 있도록 미리 대비할 필요가 있어 보여요.

| 디지털 신기술 및 리스크 분야

⑤ 대세로 자리 잡은 클라우드와 보안 고려 사항

클라우드가 금융권 핵심 업무에 활용되는 등 필수 인프라로 자리 잡을 것이라는 전망에 따라 중·종속에 따른 리스크가 우려되고 있어요. 실제로 클라우드 이용과 관련해 계정 도난, 설정 오류, 운영 실수 등에 따른 서비스 중단, 데이터 유출 등이 지속적으로 발생하고 있는 데다, 이 같은 클라우드 보안 사고의 대부분은 기술적인 문제보다는 관리 미흡에서 비롯된 것으로 나타나기도 했죠.*

* 참고: Cloud Security Alliance

클라우드 보안 역량의 확보가 중요하게 강조되고 있는 만큼, 만약 클라우드를 업무에 활용할 경우 멀티 클라우드 이용 등의 출구 전략을 마련하고, 중요 업무의 클라우드 의존도를 관리하는 것이 중요해요.

⑥ 인공지능 활용, 공정성·보안성 확보를 통한 이용자 보호 필수

인공지능(AI)은 금융산업 전반의 디지털 혁신을 주도하고 있어요. 지금처럼 빅데이터에 따른 금융시장 분석 및 전망, 금융상품 추천, 담보물 가격 결정, 리스크 측정 및 관리, 투자전략 수립, 고객 응대에 활용할 뿐 아니라, 앞으로는 금융보안관제, 금융사기 범죄 탐지 및 예방 등 사이버 보안 및 이상금융 거래 탐지에도 AI를 적용해 고도화할 예정이죠. 이에 따라 공정성, 신뢰성 및 보안성 확보를 통한 이용자 보호의 필요성이 강조되고 있어요.

⑦ 디지털 신원증명 활용에 따른 기대와 우려

디지털 전환과 코로나19 등으로 다양한 비대면 신원증명 방식의 이용이 증가하고 있어요. 최근 금융권 내에서는 디지털 신분증 활용이 허용되기도 했으며, 앞으로 이를 활용한 비대면 서비스가 더욱 확대될 것으로 전망되죠. 이에 따라 안전성과 편의성을 더한 새로운 디지털 인증 방식의 필요성이 높아지고 있는데요. 한편으로는 각 인증 방법별 특성으로 인한 새로운 보안 위협이 발생할 우려가 있기 때문에 이에 각별히 유의해야 해요.

또한 디지털 접근성이 낮은 이용자에게도 평등한 금융 서비스를 제공할 수 있도록 디지털 격차를 해소하고, 금융포용을 고려할 필요가 있죠.

| 컴플라이언스 및 전략 분야

⑧ 금융보안 규제 합리화, 전제되는 자율 보안

금융권의 디지털 전환에 따른 금융혁신이 가속화됨에 따라 금융위원회는 「금융분야 클라우드 및 망분리 규제 개선방안」을 발표했어요. 이는 클라우드 이용 절차의 불분명한 기준을 정비하고 개발·테스트 분야의 물리적 망분리 규제를 예외적으로 완화하는 내용을 골자로 하고 있죠.

이 같은 규제 합리화는 금융회사 등의 자율적인 보안 노력 강화를 전제로 하는데요. 관련 기업은 △보안성을 고려한 안전한 네트워크 인프라 구성 △소스코드 보안 관리를 위한 내부 정책 수립·운용 △소스코드 유출에 대비한 침해 사고 대응 절차 마련 등 내부통제를 강화하고 추가적인 보안대책을 마련할 필요성이 강조되고 있답니다.

⑨ 마이플랫폼 시대, 데이터 확보와 보호

앞으로는 마이데이터 산업의 발전과 종합금융플랫폼 지원을 위한 금융 규제 완화 등에 기반해 초개인화 서비스를 제공하는 ‘마이 플랫폼(My Platform)’이 가능해질 전망이에요. 하지만 개인에 대한 양질의 데이터 확보가 중요해지면서, 각 기업 간 데이터 확보 경쟁 과열과 소수 플랫폼의 정보 독과점 등이 우려되고 있는 상황이죠. 때문에 데이터 처리 관련 금융소비자 권리 보장 및 데이터 보호에 대한 노력을 강화할 필요가 있어 보여요.

⑩ 금융권 채널 변화의 핵심 디지털 연결

비대면 금융 서비스가 확산되면서 오프라인 점포가 빠르게 축소됐고, 그 대안으로 디지털 기반의 혁신 점포(은행과 편의점, 마트 등 이종 업종의 협업을 통해 은행 서비스 제공), 디지털 공동 점포(하나의 지점에서 서로 다른 은행의 창구를 별도 운영)가 등장했어요. 또한 △점포·웹/앱·고객센터 등 멀티채널의 고객 경험을 통합하고 온·오프라인에서 일관된 서비스를 제공하는 ‘옴니채널’ 전략 △하나의 앱을 통해 은행, 증권, 보험, 카드 등 다양한 금융 서비스를 제공하는 디지털 유니버설 뱅크 등이 추진되고 있죠.

이처럼 금융권에서 다각적인 채널 혁신이 본격화되고 있는 만큼, △기기 고장 등 돌발 상황에 따른 서비스 지연 △키오스크 등 셀프서비스 기기를 노리는 사이버 위협 등 다양한 운영·보안 리스크에 대한 대응 방안을 마련해야 하는 상황이에요. 또한 이에 따른 기존 법체계 및 제도 개편 요구 가능성에도 주목해야 하지요.

이제, 제로 트러스트 관점에서 재점검해야 할 때

최근 온·오프라인 금융 환경이 디지털 기술을 기반으로 다변화하는 모습을 보여주고 있어요. 게다가 사이버 위협의 진화 속도 역시 기술 발전의 속도만큼 빠르게 진행되고 있죠. 금융보안원과 전문가들은 이제 ‘금융권의 보안 전략 및 대응체계를 제로 트러스트 관점에서 재점검하고 고도화할 시점’이 된 것으로 보고 있어요.

금융보안원은 이번 10대 이슈 발표와 함께 “진화하는 사이버 위협으로부터 금융 시스템을 보호하기 위해 사이버 안전망을 세심히 살피는 한편, 디지털 전환의 전 과정에서 디지털 건전성이 유지될 수 있도록 지속 지원할 계획”이라고 언급하기도 했는데요.

다가오는 2023년, 우리가 맞이할 디지털 금융 시스템의 모습이 더욱 편리하고, 안전할 수 있기를 기대해 봅니다.