금융회사의 정보보호와 해킹 예방을 지원하는 금융보안원에서 정보 유출이 확인돼 금융당국이 긴급 현장점검에 나섰다. 금융권 보안을 점검하는 전문기관에서 사고가 발생하면서 자체 관리체계를 검증해야 한다는 지적이 제기됐다.
11일 금융권에 따르면 금융보안원은 지난 9일 상시평가지원 시스템에서 외부 해킹에 따른 정보 유출을 확인했다. 유출 자료는 행정서식 약 200건과 서식에 포함된 개인정보 300여건, 시스템 이용자 정보 350여건 등이었다.
금융당국은 이날 오전 점검반을 구성해 현장점검에 착수했다. 사고 경위와 유출 규모, 금융보안원의 대응 조치 등이 주요 점검 대상으로 꼽혔다.
금융보안원은 올해 금융회사 취약점 분석·평가 기준을 789개에서 869개로 확대하고 모의해킹 전담 조직과 웹보안점검팀을 신설했다. 지난 9월에는 정기 진단만으로 고도화된 공격에 대응하기 어렵다며 외부에 노출된 정보기술(IT) 자산의 상시 점검을 강조했다.
그러나 두 달도 지나지 않아 금융보안원 해킹 사고가 발생하면서 이러한 원칙이 내부에서도 제대로 작동했는지 의문이 제기됐다. 지난달 14일 기준 침해사고가 확인된 금융회사 16곳 가운데 10곳이 회원사라는 점에서도 점검의 실효성이 도마에 올랐다.
황석진 동국대 국제정보보호대학원 교수는 “보안을 점검하는 기관도 독립적인 보안 점검을 받아야 한다”며 금융보안원에 대한 외부 전문기관의 정기적인 평가를 요구했다.
또 금융회사들의 보안 정보가 한곳에 집중되는 위험을 줄여야 한다며 “민감한 원본 자료는 금융회사 내부에 보관하도록 하고 금융보안원은 필요한 평가 결과를 중심으로만 제출받아 확인해야 한다”고 말했다.
황 교수는 민감한 정보가 거의 유출되지 않았다는 설명만으로 안전을 단정하기 어렵다며, 유출 자료의 성격과 실제 공격에 활용될 가능성을 객관적으로 검증해야 한다고 강조했다.
기관 운영의 전문성을 강화해야 한다는 의견도 나왔다. 금융보안원은 2015년 출범 이후 역대 원장 5명이 모두 금융감독원 부원장보 출신으로, 정보보호 전문가의 운영 참여를 확대할 필요성이 제기됐다.
반면 한 금융권 관계자는 공격 수법이 정교해지고 있다는 점도 고려해야 한다며, 사고 자체만으로 관리 부실을 단정하기보다 고도화된 공격에 대응할 방안을 함께 마련해야 한다고 말했다.