개인정보보호 - “2023년 디지털금융 및 사이버보안 이슈 전망” 발표

금융보안원은 2023년 디지털금융과 사이버보안 분야에서 주목해야 할 10대 이슈를 선정하여 지난 2022년 11월 9일 발표하였다.

이번 전망에서는 보안 위협 및 대응, 디지털 신기술 및 리스크, 컴플라이언스 및 전략 등 3가지 분야로 나누어 2023년에 이슈가 될 것으로 예상되는 주제를 선정하였는데, 각 주제별로 최신의 디지털금융 및 사이버보안 이슈를 알기 쉽게 설명하였으며, 금융권이 선제적으로 대응할 수 있도록 전망과 대응 전략을 제시하고 있다.

10대 이슈로 선정된 주제는 다음과 같다.

• 사이버 공격 경로로 악용될 수 있는 엔데믹 취약점
• 랜섬웨어, 피싱 앱 등 사이버 위협의 끝없는 진화
• 오픈소스 이용 활성화와 강조되는 공급망 보안
• 디지털자산의 당면과제, 리스크 관리체계 마련
• 대세로 자리잡은 클라우드와 보안 고려사항
• 인공지능 활용, 공정성·보안성 확보를 통한 이용자 보호 필수
• 디지털 신원증명 활용에 따른 기대와 우려
• 금융보안 규제 합리화, 전제되는 자율 보안
• 마이플랫폼 시대, 데이터 확보와 보호
• 금융권 채널 변화의 핵심 디지털 연결

이슈 선정은 신뢰성과 전문성을 확보하기 위해 금융회사 디지털금융·보안 업무 종사자, 산·학계 전문가, 국외 연구 기관 등 다양한 이해관계자와 분야별 전문가의 의견을 수렴하여 이루어진 것이다. 금융보안원에서 발표한 “2023년 디지털금융 및 사이버보안 이슈 전망”에 대해 요약하여 소개하고자 한다.

1. 분야별(3가지) 내용 소개

1) 보안 위협 및 대응 분야

최근 제로데이 취약점이 사상 최대로 발견되는 가운데 시스템에 남아 지속적으로 영향을 미치는 엔데믹 취약점이 등장함에 따라 보안 취약점에 대한 관심과 주의가 필요하다.

• 협박 및 갈취 범위를 확대하는 랜섬웨어 등 진화하는 사이버 위협에 대응하기 위해서는 침해사고 대응훈련, 정보공유 참여 및 제로 트러스트로의 보안 패러다임 전환 등이 중요함을 강조하였다.
• 또한, 디지털 전환의 필수 재료로 손꼽히는 오픈소스 사용 증가와 복잡해지는 소프트웨어 공급망을 대상으로 한 사이버 위협의 심화 가능성이 주목된다.
• 사이버 공격의 주요 대상인 디지털자산에 대한 글로벌 규제 논의가 진행되고 있고, 국내도 국제적 정합성을 고려하여 디지털자산 관련 제도 마련을 추진하고 있음을 설명하였다.

2) 디지털 신기술 및 리스크 분야

클라우드가 금융권 핵심 업무에 활용되는 등 필수 인프라로 자리 잡을 것으로 전망하면서, 집중·종속에 따른 리스크가 우려되는 만큼 중요 업무에 대한 클라우드 의존도를 관리해야 함을 언급하였다.

• 디지털 금융 혁신을 주도하고 있는 인공지능(AI)의 안전한 활용을 위해 금융권 AI 보안성 검증체계 마련 등이 추진되고 있음을 설명하였다.
• 모바일 운전면허증 등 디지털 신원증명 활용과 관련된 보안 위협에 선제적으로 대비하고 디지털 격차 해소에도 노력해야 함을 강조하였다.

3) 컴플라이언스 및 전략 분야

금융분야 클라우드 및 망분리 규제 개선방안이 2023년 시행될 예정임에 따라 정보 유출 등 보안 위험에 대비하고 내부 통제를 강화해야 할 필요성을 제기하였다.

• 초개인화된 금융서비스를 제공하기 위한 금융권 마이플랫폼(My Platform) 추진 과정에서 과도한 데이터 확보 경쟁 및 데이터 유출 가능성 등을 경계해야 함을 설명하였다.
• 또한, 디지털 기반의 혁신 점포 도입, 옴니채널* 전략 및 디지털 유니버설 뱅크 추진 등 다각적인 금융권 채널 혁신이 본격화되고 있는 현상을 분석하며, 변화하는 채널 환경에 따른 운영·보안 리스크 관리 방안 마련 필요성을 언급하였다.

* Omni Channel : 온·오프라인에서 일관된 서비스를 제공하고 고객 중심 서비스를 강화하기 위해 점포, 웹·앱 등 독립적으로 운영되는 채널들을 유기적으로 연결하는 것

2. 2023년 디지털금융 및 사이버보안 10대 이슈 전망

01. 사이버 공격 경로로 악용될 수 있는 엔데믹 취약점

최근 제로데이 취약점이 사상 최대로 발견된 가운데 일부 취약점은 시스템에 잔존하며 계속 영향을 미치는 ‘엔데믹 취약점’으로 지목되었다. 취약점 모니터링 및 최신 패치 적용에 유의하고, 보다 효과적인 보안 취약점 관리를 위한 제도 수립도 고려해볼 필요가 있다.

구분	내용
이슈 분석	• 제로데이 등 고위험 보안 취약점을 이용한 사이버 공격 우려 심화 • 취약점을 선제적으로 식별·방어하기 위해 버그바운티*를 적극 활용
전망 및 대응 전략	• 보안 취약점 모니터링 및 최신 패치의 신속한 적용 등이 중요 • 보다 효과적인 보안 취약점 관리를 위한 제도 수립도 고려해볼 필요

* 버그바운티(Bug Bounty) : 취약점 보상 프로그램이라고도 하며, 기업의 서비스, 소프트웨어 및 IT 인프라의 보안 취약점을 발견하여 신고한 자에게 포상금을 지급하는 제도

02. 랜섬웨어, 피싱 앱 등 사이버 위협의 끝없는 진화

디지털 환경 또는 기술을 악용하거나 탐지 및 대응을 지연시키기 위한 기법을 적용하는 등 사이버 위협이 고도화되고 있다. 진화하는 사이버 위협에 대응하기 위해 침해사고 대응훈련 및 정보공유 체계에 대한 적극적인 참여와 함께 제로 트러스트 전략을 검토할 필요가 있다.

구분	내용
이슈 분석	• 최근 랜섬웨어 공격이 활발, 한국형 랜섬웨어도 지속 탐지 • 전화 수신 위장 등으로 기능을 강화한 보이스피싱 악성 앱
전망 및 대응 전략	• 디지털 금융의 발전 이면에 사이버 보안 위협도 진화 중 • 제로 트러스트*로 보안 패러다임 전환 필요

* 제로 트러스트(Zero Trust) : 정적(Static) 네트워크 기반의 경계선 방어로부터 사용자·자산·자원에 초점을 맞추어 방어를 이행하고 진화하는 사이버 보안 패러다임

03. 오픈소스 이용 활성화와 강조되는 공급망 보안

디지털 전환 가속화로 소프트웨어 사용이 증가함에 따라 소프트웨어 공급망을 대상으로 한 사이버 공격 우려가 심화되고 있다. 이용 중인 소프트웨어의 구성 요소를 빠짐없이 식별하고, 이를 기반으로 체계적인 리스크 관리를 추진할 필요가 있다.

구분	내용
이슈 분석	• 디지털 전환의 필수 재료인 오픈소스를 노리는 사이버 위협이 우려 • 소프트웨어 공급망 공격이 중요 사이버 이슈로 부상
전망 및 대응 전략	• 복잡해지는 소프트웨어 공급망, 체계적인 보안 관리 필요

04. 디지털자산의 당면과제, 리스크 관리체계 마련

디지털자산을 향한 보안 위협이 급증하고 있으며, 국내외 규제당국을 중심으로 디지털자산에 대한 규제 논의가 활성화되는 등 관련 규제 이니셔티브 확보를 위한 경쟁이 활발하다. 디지털자산에 대한 사이버 위협 관리 방안 수립 및 글로벌 정합성을 고려한 규제 마련이 필요하다.

구분	내용
이슈 분석	• 디지털자산의 가치 상승 및 이용 활성화에 따라 사이버 공격이 급증 • 국내외 규제당국을 중심으로 디지털자산에 대한 규제 논의 활성화
전망 및 대응 전략	• MiCA* 등 해외 규제와의 정합성을 고려한 디지털자산 관련 규제 마련 추진 • 디지털자산 관련 사업자의 사이버 리스크 관리 필요

* MiCA : EU, 디지털자산의 법적 규제 명확화 및 투자자 보호를 위한 법안

05. 대세로 자리잡은 클라우드와 보안 고려사항

클라우드는 금융권 디지털 전환을 뒷받침하는 핵심 인프라로써 거스를 수 없는 대세로 자리매김하는 중이다. 금융권 클라우드 도입 확산과 관련하여 보안 사고, 집중·종속 리스크 확대 등이 우려되므로 철저한 보안 관리 및 중요 업무의 클라우드 의존도 관리 강화가 필요하다.

구분	내용
이슈 분석	• 디지털 신기술 활용 증가 등에 따라 클라우드에 대한 관심 고조 • 관리 미흡 등으로 인한 클라우드 보안 사고가 지속 발생
전망 및 대응 전략	• 금융권 핵심 인프라로 자리잡는 클라우드 • 클라우드 보안 및 리스크 관리의 중요성이 더욱 강조될 전망

06. 인공지능 활용, 공정성·보안성 확보를 통한 이용자 보호 필수

금융산업 전반의 디지털 혁신을 주도하는 기술로 인공지능에 대한 관심이 고조되고 있다. 향후 안전한 인공지능 활용을 위한 기반이 마련될 것으로 예상되며, 공정성, 신뢰성 및 보안성 확보를 통한 이용자 보호 노력에 더욱 집중할 필요가 있다.

구분	내용
이슈 분석	• 금융산업 전반의 디지털 혁신을 주도하는 인공지능(AI) 시대 • 금융위원회, 금융분야 AI 활용 활성화 및 신뢰확보 방안 발표
전망 및 대응 전략	• 금융권 내 안전한 AI 활용 확대·정착을 위한 기반이 마련될 것으로 전망 • 공정성, 신뢰성 및 보안성 확보를 통한 이용자 보호 필요

07. 디지털 신원증명 활용에 따른 기대와 우려

디지털 전환, 코로나 등으로 다양한 비대면 신원증명 방식의 이용이 증가하고 있다. 최근 금융권 내 디지털 신분증 활용이 허용되었으며 향후 이를 활용한 비대면 서비스가 확대될 전망으로, 관련 보안 위협에 선제적으로 대응하고 디지털 격차 해소에도 노력할 필요가 있다.

구분	내용
이슈 분석	• 기존 비대면 신원증명 방식에 안전성·편의성을 더한 새로운 디지털 인증 방식 필요성 증대 • DID* 기반 모바일 운전면허증을 통한 새로운 신원증명 체계 도입
전망 및 대응 전략	• 금융권 내 디지털 신분증 이용 영역이 확대되고 관련 연구도 활발해질 전망 • 디지털 신원증명 기술 활용에 따른 새로운 위협에 대비할 필요

* DID(Decentralized IDentifier) : 분산원장기술 또는 그 밖의 다른 분산 네트워크 기술을 활용하여 분산된 저장소에 등록함으로써 중앙집중화된 서버와 같은 등록기관이 필요하지 않은 전역 고유 식별자(한국정보통신기술협회)

08. 금융보안 규제 합리화, 전제되는 자율 보안

금융위원회가 디지털 신기술 도입·활용을 안정적으로 지원하기 위해 클라우드 및 망분리 규제 개선방안을 발표하였다. 이러한 규제 합리화는 금융회사 등의 자율적인 보안 노력 강화를 전제하므로, 내부통제 강화 및 추가 보안대책 마련 등을 적극 추진할 필요가 있다.

구분	내용
이슈 분석	• 금융권의 디지털 전환에 따른 금융혁신이 가속화 • 금융위원회, 「금융분야 클라우드 및 망분리 규제 개선방안」 발표
전망 및 대응 전략	• 소스코드 유출 등 보안 위험에 대비하여 보안 통제 및 대책 마련 필요 • 디지털 전환을 안정적으로 뒷받침하기 위한 단계적 규제 개선 추진 전망

09. 마이플랫폼 시대, 데이터 확보와 보호

마이데이터 산업의 발전, 종합금융플랫폼 지원을 위한 금융규제 완화 등에 기반하여 초개인화 서비스를 제공하는 ‘마이플랫폼’이 가능해질 전망이다. 개인에 대한 양질의 데이터 확보가 중요해짐에 따라 과도한 데이터 경쟁에 유의하고 정보보호 노력을 강화할 필요가 있다.

구분	내용
이슈 분석	• 빅블러* 시대, 금융권은 플랫폼 구축에 주목 • 다양한 금융 서비스를 통합하는 금융권 슈퍼 원앱 전략
전망 및 대응 전략	• 마이플랫폼 도입 추진에 따라 데이터 확보 경쟁이 더욱 격화될 가능성 • 데이터 처리 관련 금융소비자 권리 보장 및 데이터 보호 노력 필수

* 빅블러 : 생산자-소비자, 소기업-대기업, 온라인-오프라인, 제품·서비스 간 경계 융화를 중심으로 산업·업종 간 경계가 급속히 사라지는 현상

10. 금융권 채널 변화의 핵심 디지털 연결

최근 금융권은 점포, 웹·앱 등 채널을 유기적으로 연결하는 옴니채널 전략과 은행, 증권 등 다양한 금융 서비스를 하나의 앱을 통해 제공하는 디지털 유니버셜 뱅크를 추진 중이다. 이러한 채널 혁신이 기존 법체계 및 제도개편에 대한 요구로 이어질 가능성에 주목할 필요가 있다.

구분	내용
이슈 분석	• 혁신 점포·디지털 공동 점포 등 오프라인 점포에도 디지털을 접목 • 온-오프라인 및 타 업권 등과의 연결을 시도하는 금융권 채널 전략
전망 및 대응 전략	• 변화하는 채널 환경에 따른 운영·보안 리스크 관리 방안 마련 필요 • 디지털 채널 혁신의 안착이 기존 법체계 및 제도개편 요구로 이어질 가능성

맺음말

금융보안원장은 “최근 온·오프라인 금융 환경이 디지털 기술을 기반으로 다변화하고 있고, 사이버 위협의 진화 속도가 기술 발전의 속도만큼 빨라 금융권의 보안 전략 및 대응체계를 제로 트러스트 관점에서 재점검하고 고도화할 시점”이라고 강조하면서, “금융보안원은 진화하는 사이버 위협으로부터 금융시스템을 보호하기 위해 사이버 안전망을 세심히 살피는 한편, 디지털 전환의 전 과정에서 디지털 건전성이 유지될 수 있도록 지속 지원할 계획”이라고 밝혔다.

자세한 내용은 금융보안원(https://www.fsec.or.kr) 보도자료 및 보고서 전문(자료마당 > 조사연구)에서 확인할 수 있다.