[국내보안뉴스] 금융당국 보안 점검 지침의 허점… 3개월 치 로그 점검으로 해킹 징후 놓쳤나

최근 금융권의 연이은 개인정보 유출 사고에 대응해 실시된 금융당국의 긴급 자체점검이 부실하게 운영된 것으로 나타났습니다. 국회 정무위원회 국정감사에서 밝혀진 바에 따르면, 금융감독원이 금융회사들에 배포한 긴급 점검표에 구체적인 조사 기간과 세부 가이드라인이 누락되어 일부 금융사가 형식적인 점검만 거친 후 '이상 없음'으로 성급히 결론 내린 정황이 확인되었습니다.

조사 범위에 따른 결과 차이는 매우 심각했습니다. 단 3개월 치의 접속 기록만 확인한 시중은행들은 아무런 문제점을 찾아내지 못했으나, 자체적으로 1년 치 로그를 정밀 분석한 인터넷전문은행에서는 과거 해킹 의심 IP가 접속했던 흔적이 실제로 포착되었습니다. 이는 공격자가 시스템에 오랜 기간 숨어 대기하는 지능형 지속 위협(APT)의 특성을 간과한 채, 수개월 수준의 단기 로그만 점검하는 방식으로는 실제 침해 사고를 파악하는 것이 불가능함을 시사합니다.

금융권의 실질적인 보안 수준을 높이기 위해서는 실효성 있는 점검 체계 재정립이 시급합니다. 금융당국은 보안 점검 시 최소 1년 이상의 접속 로그 분석을 의무화하고, 명확한 이상 징후 탐지 기준을 담은 가이드라인을 제공해야 합니다. 또한 금융회사들은 요식 행위에 불과한 자체 점검을 지양하고, 장기 로그 보관 및 상시 모니터링 체계를 고도화하여 보안 사각지대를 최소화해야 합니다.