[아시아초대석]정보유출, 기술 탓만 할건가 '사람 보안網'부터 짜라

'금융보안 사고' 해법 찾는 김영린 금융보안연구원장

김영린 금융보안연구원장

관리 가이드라인 발간, 경영진 인식전환 나설것
전문인력 늘려 보안책임자 중심 사이버공격 대응
금융전산보안 전담기구 설립시 대학과도 협력 예정
美·英처럼 민간 자율규제 방법도 보안강화에 도움

[아시아경제 김철현 기자] 올해는 연초부터 대규모 고객정보 유출이라는 굵직한 보안 이슈가 금융권을 뒤흔들었다. 돈을 다루기 때문에 보안이 다른 산업군보다 뛰어나야 할 금융회사들의 허술한 대처에 고객들의 신뢰는 땅에 떨어졌다. 신뢰가 자산인 만큼 다양한 대책이 쏟아진 것은 당연하다. 하지만 어떻게 신뢰를 회복할지에 대해서 명쾌한 해답을 내놓는 이는 드물었다.

금융사와 당국도 일제히 보안 강화를 위한 대책을 마련하고 있지만 해커들의 기술이 나날이 발전하고 있는 상황에서 얼마나 실효성을 거둘 수 있을지는 불확실하다. 국민들이 안심하고 전자금융거래를 이용할 수 있도록 하는 중책을 맡고 있는 금융보안연구원의 위상이 부각되고 있는 것은 이 때문이다. 지난 4월 부임한 김영린 원장의 역할도 중요해졌다.

지난 14일 서울 여의도 금융보안연구원에서 만난 김 원장 역시 가장 시급하게 해결해야 할 문제로 금융 소비자 신뢰 회복을 꼽았다. 그는 "최근 발생한 각종 금융보안 사고는 금융 전반에 대한 불신을 초래해 금융 산업 발전을 저해하는 위험요소가 됐다"며 "금융의 역할 제고를 위해서는 금융거래 안전성에 대한 소비자의 신뢰 회복이 시급하다"고 말문을 열었다.

그렇다면 김 원장은 어떤 대안을 가지고 있을까. 그가 첫 번째로 얘기한 것은 '보안 거버넌스'다. 금융사의 보안을 더 이상 기술적인 문제로 다루지 말고 이사회, 감사위원회, 최고경영자(CEO) 등이 책임지는 구조를 만들어야 한다는 얘기다.

김 원장은 "정보보호 패러다임은 기술적 관점에서 관리, 제도화 단계를 지나 정보보호 거버넌스 단계로 진입했다"며 "국내 금융사 조직체계 등 현황을 조사하고 국제 표준 및 우수 사례 등을 분석해 금융보안 거버넌스 가이드라인을 발간, 경영진의 인식전환을 유도하겠다"고 밝혔다.

금융보안 강화를 위해서는 시스템 도입 및 운영과 같은 기술 중심의 대응이 아닌 기업의 보안 거버넌스 구성과 다양한 보안인력 양성을 포함한 비기술적 요소를 충분히 고려할 필요가 있다는 것이 그의 생각이다.

하지만 정보보안 기술은 새로운 공격에 맞서며 발전해왔기 때문에 선제적인 대응 역량을 키우는 것이 쉽지 않은 일이다. 이에 대해 김 원장은 "사이버 공격의 위험을 최소화할 수 있는 가장 효과적인 방법은 보안전문 인력을 확충하고 정보보안책임자(CISO)를 중심으로 체계적인 대응방안을 마련하는 것"이라며 "급변하는 금융 정보기술(IT)환경에 능동적 대처가 가능한 전문 인력이 금융보안 강화의 핵심"이라고 강조했다.

김 원장이 인력을 강조하는 것은 수차례 사고가 이어지고 있지만 여전히 지능화되고 고도화되는 보안위협에 능동적인 대처가 가능한 전문 인력은 턱없이 부족한 상황이기 때문이다. 특히 사고 시 책임 때문에 보안담당자의 고충은 늘고 있고 직무만족도는 낮아지면서 보안업무를 기피하고 있는 현상이 두드러지고 있는 실정이다.

김 원장은 "최근 추진 중인 금융전산보안 전담기구 설립 시 금융보안 교육을 더욱 강화하고 대학 및 타 교육기관과 협력, 금융보안 인력 공급의 선순환 체계를 마련할 예정"이라며 "금융사 및 감독당국에서도 정보보호인력에 대해 사기진작 방안을 마련해 시행할 수 있도록 해야 한다"고 말했다.

새롭고 편리한 서비스가 도입되면 보다 업그레이드 된 형태로 보안 위협이 나타나고 있다는 점은 최근 김 원장이 고민하고 있는 문제다. 카카오의 금융 서비스 진출이 대표적이다. 김 원장은 "보안성을 담보로 서비스가 출시되지 못한다면 다양한 편의성과 자본을 앞세운 글로벌 업체에게 시장을 선점당할 수밖에 없다"고 전제하면서 "보안강화를 위해 지연송금, 미성년자 사용불가 등의 서비스 정책적인 부분도 고려해야 하고 특히 이상금융거래탐지시스템(FDS)과 같은 기술은 매우 중요한 역할을 할 수 있다"고 말했다.

이에 따라 금융보안연구원은 전자결제 수단 및 보안성에 대한 연구를 지속적으로 수행해 나갈 계획이다. 이를 통해 금융보안 사고에 대한 선제적으로 대응을 할 수 있도록 지원한다는 방침이다.

김 원장은 금융감독원 부원장보를 지냈지만 보안을 이유로 금융사에 대한 규제가 강화되는 것은 경계했다. 그는 "전자금융시장 전반의 경쟁력과 기술혁신을 위해 과도한 규제는 지양돼야 한다"며 "금융회사 자율규제로 금융보안 패러다임이 변화할 필요가 있다"고 강조했다.

미국과 영국 등 해외 주요국에서는 개별 금융사들이 각자의 특성에 맞는 보안정책을 수립할 수 있도록 유도하는 등 시장의 자율성을 존중하고 있다. 다만 김 원장은 "금융당국이 철저하게 관리ㆍ감독하고 보안사고가 발생하면 막중한 책임을 묻는 방식"이라고 설명했다. 이어 "금융사 스스로 능동적인 보안강화 노력이 가능하도록 유도할 수 있는 자율규제야말로 전자금융의 경쟁력 확보와 보안성 강화라는 두 마리 토끼를 잡을 수 있는 현명한 선택"이라며 "금융회사가 공동으로 설립한 협회나 보안전담기구 등을 통해 기술적 지원을 받아 충분한 보안성을 확보하고 공동의 자율규약을 준수하도록 하는 등 민간의 자율규제기구를 만드는 것도 방법"이라고 제안했다.

김 원장은 마지막으로 "FDS 기술 가이드, 금융회사 재해복구센터 구축ㆍ운영 가이드, 중소형 금융회사 보안수준 진단 가이드 등 전자금융거래 안정성 제고를 위한 분야별 기술가이드를 연내 개발 완료하고 배포해 금융사 보안성 강화를 지원하겠다"고 덧붙였다.
대담=박성호 금융부장, 정리=김철현 기자

김영린 금융보안연구원장은
올해 4월 금융보안연구원장으로 취임한 김영린 원장은 휘문고등학교, 성균관대학교 경제학과를 졸업하고 미국 오리건주립대에서 경제학 박사를 취득했다. 금융보안연구원에 오기 전에는 금융감독원에서 감독서비스총괄국장, 거시감독국장, 부원장보 등을 역임했다. IT, 거시, 제재, 국제 등 주요 업무를 두루 경험한 금융회사 감독ㆍ검사 업무의 전문가로 평가받고 있다.

주요경력
1982년 2월 한국은행 입행
1995년 7월 IMF 아태국 이코노미스트
1999년 7월 금융감독원 국제감독국 과장
2001년 5월 금융감독원 외환감독국 팀장
2003년 5월 금융감독원 비은행감독국 팀장
2005년 1월 금융감독원 은행검사1국 팀장
2006년 4월 금융감독원 기획조정국 부국장
2008년 6월 금융감독원 조사연구실장
2009년 3월 금융감독원 감독서비스총괄국장
2011년 4월 금융감독원 거시감독국장
2013년 5월 금융감독원 부원장보(업무총괄담당)
2014년 4월 금융보안연구원 원장

김철현 기자 kch@asiae.co.kr