보안관제센터 24시간 365일 운영…지속적으로 증원
계정관리·접근 통제 역할 기반 부여 시스템 구축…인재 예방
 |
신한은행이 정보보안을 위해 보안관제센터로 이상징후 모니터링을 24시간 운영하고 있다. 고객정보와 같은 중요한 정보는 프라이빗 망으로 분리해 보호하고 있으며, 계정관리와 접근 권한 통제를 시스템화하고 인사 이동과 퇴직 시 자동으로 권한이 회수해 '인재'로 인한 정보 유출을 사전에 예방하고 있다. /신한은행 |
디지털 전환과 비대면 금융 확산으로 은행 정보보안이 신뢰를 가르는 기준으로 떠올랐다. 고객 정보 유출과 전산 장애가 되풀이되면서 보안은 내부통제와 조직 문화, 의사결정 구조를 가늠하는 지표로 읽힌다. <더팩트>는 국내 은행의 정보보안 대응을 점검하고, 디지털 금융 시대 은행 보안의 현주소와 과제를 짚는다. <편집자주>
[더팩트 | 김태환 기자] 신한은행은 보안관제센터를 통해 이상징후 모니터링을 진행하며 개인정보 침해 대응 업무를 수행한다. 고객정보와 같은 중요한 정보는 프라이빗 망으로 분리해 보호하고 있으며, 계정관리와 접근 권한 통제를 시스템화하고 인사 이동과 퇴직 시 자동으로 권한이 회수되도록 만들어 인재로 인한 정보 유출을 사전에 예방하고 있다. 이사회 차원에서도 정기적으로 정보보호 안건을 보고받으며, 보안 사고 사례 분석 등을 논의하는 등 보안사고 예방을 강화하고 있다.
신한은행 '정보보호본부'는 사이버보안과 개인정보보호, 규제 대응 등 정보보안 업무 전반을 수행하고 있다. 정보보호본부 소속 보안관제센터는 24시간 365일 운영 중이며 이상징후 모니터링·침해 대응 업무를 수행한다. 정보보호 전담 인력은 은행 규모에 따라 60명 수준이며 지속적으로 증원 중이다.
뱅킹 인프라는 업무 용도와 목적에 따라 네트워크를 분리해 구성했다. 고객 정보 등 중요 정보는 외부에 공개되지 않도록 안전한 네트워크로 분리하여 프라이빗 망에 보관되어 있으며 보안시스템을 통해 중요 데이터를 보호하는 구조다.
대부분의 보안사고가 인력에 의해 유출되는 '인재'라는 점에서 신한은행은 민감한 정보에 접근하는 인력에 대한 규제도 강화하고 있다.
계정관리와 접근 권한 통제는 업무별 역할(Role) 기반으로 부여(RBAC)하며, 인사 이동과 퇴직 시 자동으로 권한이 회수되도록 조치한다.
특히, 업무 담당자의 역할을 신청서에 기재하도록 해 RBAC가 정상동작하도록 정보보호 담당자가 임의·과다 권한이 부여됐는지 여부를 검토한 이후 승인하는 시스템을 구축했다.
이를 통해, 퇴사자·이동자의 권한 방치를 방지해 내부자 사고를 예방하고, 내부통제·정보보안 체계가 ‘사람 의존’이 아니라 '시스템화' 할 수 있다고 신한은행 측은 설명했다.
 |
신한은행 '정보보호본부'는 사이버보안과 개인정보보호, 규제 대응 등 정보보안 업무 전반을 수행하고 있다. /신한은행 |
이와 더불어, 전 은행 차원의 개인정보 조회·접근 권한 등 사고사례를 공유하고, 문제의 소지가 발생된다면 해당 영역에 대해 긴급 점검을 즉시 수행한다. 임직원 대상 정보보호 경각심 제고를 위해 유의사항 공지도 배포하기도 한다.
소비자들의 보안문제 해결을 위해 신한은행은 인증서 기반 서비스에 대해 인증 체계 강화, 금융사기 탐지 시스템(FDS)을 통한 로그인 이상 거래 알림 기능을 제공하고 있다.
단순 인증서 확인이 아니라 추가 검증, 접근 패턴 분석과 같은 내용을 추가해 인증 과정 자체를 더 꼼꼼하게 챙긴다는 설명이다. FDS는 로그인 단계에서 평소와 다른 접속 위치, 기기 변경, 반복 실패 시도 등을 감지하면 이상 로그인 시도로 판단해 소비자에게 경고를 해준다.
신한은행 관계자는 "고객정보·거래조회는 이상행위 탐지 시나리오 기반 운영중이며, 이상행위 발생시 실시간 탐지 및 조치를 원칙으로 한다"면서 "사고 분석 내용이 나오는 대로 취약점을 분석해 인공지능(AI) 기반 이상거래 탐지 기능을 보강 및 강화할 예정"이라고 말했다.
이러한 보안 시스템에도 불구하고 대형 보안사고가 발생하면 사고인지→보고→비상회의 소집→대외공표까지의 의사결정 라인, 금융당국·금융보안원·수사기관과의 공조 체계 등의 순으로 보고 체계에 따라 대응을 진행한다.
사고시에는 정보보호최고책임자(CISO)가 최종 책임을 지며 임원급(상무)로 지정돼 있다. CISO는 정보보호부서를 총괄하고 정보통신기술(ICT) 부문 겸직을 금지하며 IT그룹과 분리돼 있다.
CISO는 연 4회 이사회에 정기 보고하고 있으며 전자금융감독규정에 규정하는 CISO 이사회 보고 안건에 따라 정보보호 안건을 보고하고 있다.
신한은행 관계자는 "대형 보안사고 이후 은행은 정보보호·사이버 보안 리스크를 금융·평판 리스크와 동일 급의 핵심 경영 리스크로 인식하고 있다"면서 "이사회에서 연 4회 정기적으로 정보보호 안건을 보고받으며, 최근에 타사의 보안 사고 사례 분석 등을 논의하는 등 보안사고 예방을 위해 노력하고 있다"고 말했다.
kimthin@tf.co.kr
발로 뛰는 더팩트는 24시간 여러분의 제보를 기다립니다.
▶카카오톡: '더팩트제보' 검색
▶이메일: jebo@tf.co.kr
▶뉴스 홈페이지: http://talk.tf.co.kr/bbs/report/write
이 기사의 카테고리는 언론사의 분류를 따릅니다.