금보원, 클라우드 사업자 점검 영역 확대

올해 시범평가서 점검 방법론 유효성 확인

금융보안원이 클라우드 사업자 평가의 기술분야 점검 대상을 가상자원 관리시스템에서 외부에 노출된 운영, 개발, 테스트 시스템까지 넓힌다. 인공지능(AI)으로 점검할 자산을 식별하고 취약점을 파악하는 자동화도 도입할 계획이다. 2027년도 평가부터 사전협의된 클라우드 사업자를 대상으로 본격 적용된다.

금보원은 클라우드 보안 위협에 선제적으로 대응하기 위해 '클라우드 서비스 제공자(CSP) 안전성 대표평가'를 고도화한다고 5일 밝혔다.

서면 평가(증적, 실사, 시연 등)의 한계를 극복하고자 2023년부터 클라우드 사업자의 가상자원 관리시스템을 대상으로 보안 취약점을 점검해 왔다. 기술분야 평가로 불리는 이 점검은 포털과 콘솔 중심으로 이뤄졌다.

금융보안원 로고. (사진=지디넷코리아)

앞으로 공격표면을 줄이기 위한 신규 방법론을 개발하고, 공격에 악용될 가능성이 높은 취약점도 AI로 파악해 점검의 효율성과 일관성을 높인다는 구상이다.

고도화 배경으로는 외부 노출 자산의 취약점을 악용하는 사이버공격의 지능화가 언급된다. 금융회사의 클라우드서비스 의존도가 높아지면서 사업자의 보안 취약점이 다수 금융회사의 연쇄 피해로 이어질 가능성도 우려된다. 금보원은 사업자의 잠재 취약점을 사전에 식별해 조치하도록 한다는 취지다.

금보원은 올해 일부 클라우드 사업자를 대상으로 시범평가를 벌여, 개인정보 유출로 이어질 수 있는 보안 취약점을 사전에 탐지하는 등 점검 방법론의 유효성을 확인했다.

내년 1분기 마련할 '디지털금융안전법' 제정안에서는 보안 규율 적용 대상을 클라우드 사업자 등으로 넓힐 방침이다.

CSP 안전성 평가는 금보원이 금융회사를 대신해 클라우드 사업자의 보안, 운영체계를 점검하고, 그 결과를 금융권이 공동 활용하는 구조다.