금융계 화두된 FDS 구축, 선결 과제는

기존 공인인증서를 통한 전자서명, 백신, 방화벽, 키보드 보안과 같이 앞단에서만 막기 힘들었던 금융사기를 뒷단에서 실시간으로 탐지해 차단하는 이상금융거래탐지시스템(FDS)이 금융권 화두로 떠올랐다.

중요한 점은 FDS는 특정 솔루션이라기 보다는 하나의 금융보안을 위한 프레임워크로 봐야한다는 것이다. 때문에 구축했냐, 못했냐보다는 제대로 구축해서 이상금융거래를 찾아낼 수 있는가가 핵심이다.

금융당국의 방침에 따라 신용카드사는 물론 은행들에게까지 FDS 도입이 권고되면서 금융회사들은 올해 말까지 구축을 완료하겠다고 나섰다.

정인화 금융감독원 IT감독실장은 은행은 올해 말까지 FDS를 구축할 수 있도록 지도하고 있다며 늦어도 내년 2월까지 구축을 완료하도록 한 뒤 결제대행(PG)사들에게까지 확대해 나갈 계획이라고 밝힌 바 있다.

금융거래에 필요한 모든 정보를 실시간으로 분석해 이상거래로 의심되는 행위를 차단하는 FDS는 메모리해킹과 같이 고도 공격수법이 등장하는 시점에서 그동안 대응하지 못했거나 알려지지 않은 공격을 막을 수 있다는 점에서도 효과적이다.

일각에서는 최근 1억2천만원이 유출된 농협 텔레뱅킹 사기의 경우에도 FDS를 더 빠르게 구축했었다면 막을 수 있었을 것이라고 주장하기도 한다. 농협은 최근에야 FDS 구축을 완료했다.

3일 국내 보안업계에 따르면 현 시점에서 제대로 된 FDS를 구현하기 위해서는 몇 가지 해결해야될 과제들이 있다.

먼저 FDS를 운영하기 위해 사용자의 금융거래정보, 이용자 정보, 기기 정보, 위치 정보 수집 등이 전제가 돼야한다는 점이다. 이상금융거래인지 아닌지를 파악하기 위해서는 사용자의 거래패턴이나 거래성향을 파악할 수 있어야 한다.

예를 들어 주로 평일 오후 서울에서 스마트폰으로 금융거래를 이용해 왔던 사용자가 주말 새벽에 다른 중국에서 PC로 거래를 시도할 경우 이상금융거래로 의심해 볼 수 있다.

문제는 이를 파악하기 위한 정보들이 이상금융거래 여부를 판단하기 위한 중요한 도구이면서 민감한 개인정보라는 점이다. 이미 개인정보보호법, 위치정보보호법, 정보통신망법 등을 통해 엄격하게 수집이 제한되고 있어 FDS 운영에 제약이 올 수 있다.

테크앤로 구태언 대표 변호사는 전자금융거래법상 금융회사 등의 의무를 이행할 수 있도록 정보수집 관련 법령의 통일적인 개정이 필요하다고 말했다.

두번째로는 PC나 노트북 외에 주요 거래수단으로 부상한 스마트폰에서 발생하는 이상거래를 얼마나 탐지할 수 있는가 여부다. 안드로이드, iOS를 지원하면서도 운영체제(OS) 업데이트, 새로 출시되는 기기들마다 단말정보를 수집하고, 위변조 식별, 프록시 탐지 및 역추적 기능 등이 적용돼야 한다.

세번째는 실시간으로 이상금융거래를 탐지/차단하면서도 정상거래는 빠르게 이뤄지도록 해야 한다는 점이다.