금보원, 금융권 SW 약점 찾아내는 플랫폼 가동

'금융권 소프트웨어 공급망 보안 세미나'서 소개

금융보안원이 이달 중으로 금융권 소프트웨어 공급망 보안 플랫폼을 본격 가동할 계획이다. SBOM(소프트웨어 자재 명세서) 기반으로 소프트웨어의 공급망 현황을 쉽게 파악해 공급망 공격으로부터 보안을 강화하겠다는 복안이다.

금융보안원은 지난달 30일 여의도 금융투자협회 불스홀에서 전 금융회사 보안 담당자가 참여한 '금융권 소프트웨어 공급망 보안 세미나'를 열고 '금융권 소프트웨어 공급망 보안 플랫폼'을 본격 가동할 계획이라고 2일 발표했다.

플랫폼은 소프트웨어 공급망 전반의 위협을 실시간으로 식별하는 보안 가시성을 확보하고, 선제적으로 위협에 대응할 수 있는 환경을 마련하겠다는 취지로 추진됐다. 플랫폼은 ▲금융권 취약점 통합관리 ▲SBOM 관리체계 ▲버그바운티(취약점 제보) 운영 효율화 기능 등을 제공한다.

먼저 소프트웨어 주요 취약점에 대해 보안 패치의 개발부터 적용까지 전 과정을 원스톱으로 지원한다. 플랫폼을 통해 통제된 방식으로 취약점 정보를 신속하게 공유하는 것이 가능해진다.

SBOM 기반의 관리체계를 통해 새로운 취약점이 발견되면 금융권 영향을 신속하게 분석 및 대응할 수 있도록 지원하다.

금융권 소프트웨어 공급망 보안 세미나 현장.(사진=금융보안원)

취약점을 선제적으로 찾아내 조치하기 위해 버그바운티를 운영한다. 취약점 제보자에게 보상을 지급하고, 금융권 소프트웨어 '제로데이 취약점'도 식별하겠다는 구상이다. 이로써 보안 사각지대를 최소화하고 취약점 발굴 문화 활성화를 선도하겠다는 것이 금융보안원의 계획이다.

제로데이 취약점은 소프트웨어 개발사가 아직 인지하지 못했거나, 인지했더라도 패치나 해결책이 마련되기 이전인 상태의 취약점을 말한다. 공격자가 먼저 제로데이 취약점을 악용할 수 있기 때문에 위협적인 공격으로 꼽힌다.

한편 이날 개최된 세미나에서는 이정운 금융감독원 디지털리스크분석팀장이 '금융권 소프트웨어 취약점 관리 관련 감독 방향'을 주제로 발제에 나섰다. 이만희 한남대 컴퓨터공학과 교수는 생성형 인공지능(AI) 시대의 전반적인 공급망 보안 리스크에 대해 발표했다.

이 외에도 김규연 금융보안원 침해사고조사팀 수석이 '소프트웨어 공급망 침해사고 사례 및 대응 방안'을, 변진용 금융보안원 SW공급망보안팀 수석이 '금융권 소프트웨어 공급망 보안 플랫폼 소개'를 주제로 발표했다.

박상원 금융보안원장은 "플랫폼을 통해 금융회사는 자사 소프트웨어 취약점 현황 및 영향 범위를 한눈에 파악하고, 대응 우선 순위를 합리적으로 설정함으로써 취약점 관리의 효율성과 실효성을 한층 강화할 수 있을 것으로 기대한다"며 "향후에는 금융당국에서도 플랫폼을 통해 금융권 전반의 공급망 보안 현황을 종합적으로 파악하고 정책 수립 등에 활용할 수 있도록 플랫폼을 지속적으로 고도화해 나갈 것"이라고 밝혔다.