금융보안원, 금융권 침투테스트 가이드라인 발간

금융보안원은 금융사가 실제 공격자 관점에서 침투테스트를 체계적으로 수행할 수 있도록 ‘금융분야 침투테스트(모의해킹) 수행 가이드라인’을 발간했다고 3일 밝혔다.

침투테스트는 실제 공격자와 같은 기법을 사용해 금융사의 정보기술(IT) 인프라에 침투할 수 있는지를 확인하는 보안 점검 방식이다. 시스템별 취약점을 찾는 데 그치지 않고 여러 취약점을 연결해 실제 공격 목적을 달성할 수 있는지 점검한다.

금융보안원은 개인정보 상시평가에 모의해킹 항목이 신설되고 ‘정보보호·개인정보보호 관리체계(ISMS-P)’ 기술심사에 모의침투가 도입되는 등 제도적 요구가 확대돼 가이드라인을 마련했다고 설명했다.

생성형 인공지능(AI)을 악용한 공격과 여러 취약점을 연계한 침투가 늘면서 금융사가 일관된 기준으로 침투테스트를 수행할 필요성도 커졌다고 봤다. 금융사는 고객 자산과 개인정보를 취급해 침해사고가 발생하면 피해 범위가 커질 수 있다.

가이드라인은 침투테스트 절차를 사전 준비와 점검 수행, 결과 보고, 사후 관리 등 4단계로 구분했다. 금융사 보안 담당자가 침투테스트를 기획하고 관리할 때 활용할 수 있도록 3개 분야 6개 항목으로 구성한 점검표도 제공한다.

점검 기준에는 국제적으로 활용되는 공격 프레임워크인 마이터 어택(MITRE ATT&CK)과 록히드마틴의 사이버 킬체인(Cyber Kill Chain)을 반영했다.

침투테스트는 정보 수집부터 초기 침투, 내부 확산, 핵심 자산 접근까지 실제 공격 흐름을 시나리오로 재현한다. 이를 통해 개별 취약점 목록을 확인하는 것을 넘어 금융사의 보안 체계가 공격 과정에서 제대로 작동하는지 검증한다.

금융보안원은 화이트해커로 구성한 침투테스트 전문부서 ‘레드 아이리스(RED IRIS)’를 운영하고 있다. 금융권 침투테스트 경험을 바탕으로 금융사의 가이드라인 적용을 지원하고 현장 의견을 반영해 내용을 보완할 계획이다.

박상원 금융보안원 원장은 “AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수”라며 “금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 지원하고 현장 의견을 반영해 가이드라인을 지속 보완하겠다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network