금융당국 보안점검에도 또 뚫려…美연준은 서드파티까지 감독

제3자 리스크 관리 가이드라인 운영

우리나라 금융감독당국이 전체 금융회사를 대상으로 긴급 보안 점검을 실시했음에도 불구하고 대신증권·미래에셋생명 등 금융투자·보험업권 해킹 및 개인정보 유출사고가줄지어 발생하는 참사가 이어지고 있다. 이에 국내 금융권 보안 감독이 시대를 따라가지 못하는 것 아니냐는 지적이 제기된다.

최근 미국 연방준비제도(연준)은 '제3자(Third-party) 리스크 관리 가이드라인(SR 23-4)' 개정안을 내놨다. 연준은 2023년 제3자 리스크 관리 가이드라인을 발표했으나, 은행들이 위험도와 관계없이 모든 외주업체에 똑같은 서면 실태점검표 작성을 요구하는 등 체크리스트 채우기식 형식적 대응에 나서면서 개정안을 내놓은 것이다.

개정안은 연준과 금융당국은 무의미한 서면 점검을 지양하고, 실제 위험도에 비례해 클라우드·인공지능(AI)·핵심 코어 외주사 등 고위험 서드파티를 '실시간·지속적(Continuous)'으로 감시하라는 내용을 담았다. 금융사가 IT 시스템이나 AI 모델, 클라우드를 외주 형태로 도입하더라도 리스크 관리 책임까지 외주업체로 전가할 수 없다는 것이다.

(사진=이미지투데이)

또 연준은 은행서비스회사법(BSCA)을 바탕으로, 금융사가 계약한 외주 IT 테크 기업 및 서비스 솔루션(SaaS) 공급업체에 대해 금융감독원 수준의 직접 감사·점검 권한을 행사한다.

국내 금융권의 특성상 내부 인력만으로는 급변하는 IT 인프라와 외부 연계 시스템을 전부 직접 개발·운영할 수 없어 대규모 IT 외주 및 위탁 개발이 불가피한 구조다.

그러나 이에 대한 우리나라의 현행 감독 체계는 시대를 따라가지 못하고 있다는 지적이 거세다. 현행 전자금융감독규정상 IT 외주 관리는 주로 ▲외주 인력 계약 시 보안 서약서 수령 ▲내부망 접근 시 단말기 통제 ▲연 1회 형식적인 점검표 작성 등 서면 중심의 정적 컴플라이언스에 머물러 있다. 결국 규정상 항목만 채우면 합격점을 받지만, 정작 실시간 AI 기반 침투 공격에는 속수무책으로 뚫린 셈이다.

실제 이번 사이버 침투 사태의 본질은 핵심 계정계 내부가 아닌 ‘망분리의 바깥’과 ‘서드파티(외주 공급망)’에 있었다. 해커들은 수천억 원의 보안 예산이 투입된 본사 핵심 시스템을 직접 공격하는 대신, 관제가 상대적으로 허술한 대출모집인 전용 조회 시스템, 외주 개발직원용 영업지원 웹, 모바일 업무 지원 포털을 우회 통로로 삼았다. 중국계 AI 자율 침투 도구와 웹셸 취약점 등을 활용해 외부 접점 웹 화면의 권한 검증 허점을 24시간 실시간으로 탐색·공격하여 정보를 탈취해 간 것이다.

전문가들은 국내 금융 감독 프레임워크 역시 단순 ‘망분리 규정 준수’와 형식적 외주 서면 점검표라는 컴플라이언스에서 벗어나, 연준 방식인 실질적 제로 트러스트(Zero Trust) 및 공급망 통제 체계로 근본 전환해야 한다고 입을 모은다. 

금융권과 보안업계 관계자는 "국내 금융 구조상 IT 외주는 선택이 아닌 필수이지만, 현행 감독규정은 외주 생태계의 실시간 위협을 감당하기에 지나치게 낡아 있다"며 "미 연준의 사례처럼 외주 IT 공급망 전반에 대한 SBOM 의무화와 실시간 모니터링 체계를 갖추도록 규정 패러다임을 시급히 전환해야 한다"고 강조했다.