최근 신한은행 해킹 사태를 전후해 침해사고가 확인된 금융회사와 가상자산사업자가 16개 사로 늘면서 보안 인증제도의 사후관리 실효성이 도마 위에 올랐다. 정보보호 평가에서 최고 등급을 받은 금융회사마저 해킹 피해를 입은 가운데, 인증 취득 이후에도 실제 공격에 대응할 수 있는 보안 역량을 유지하고 있는지 지속적으로 검증해야 한다는 지적이 나온다.

특히 보안 인증이 과징금 감경 등 제재 부담을 줄이는 수단으로 활용될 수 있는 만큼, 인증 취득 자체보다 이후의 보안 관리 실태를 확인하는 데 무게를 둬야 한다는 목소리가 커지고 있다.

15일 금융위원회에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사와 가상자산사업자는 총 16개 사다. 은행과 저축은행, 상호금융, 여신전문금융, 전자금융, 온라인투자연계금융, 가상자산 등 여러 업권에 걸쳐 사고가 확인됐다.

가상자산 업권에서는 고팍스 운영사 스트리미와 코인마켓 거래소 프라뱅이 포함됐다. 금융당국은 업체별 침해 경로와 공격 방식, 동일 공격 주체의 소행인지 여부, 인공지능(AI) 활용 가능성 등을 조사하고 있다.

앞서 신한은행이 정보보호 평가에서 최고 등급을 받고도 침해사고를 겪으면서 평가 결과와 실제 방어 역량 사이의 간극이 논란이 된 바 있다. 이번에는 사고가 여러 업권으로 확산하면서 보안 인증 취득 이후 관리·점검 체계도 실효성을 따져봐야 한다는 지적이 제기된다.

금융당국의 정보보호 평가와 정보보호 관리체계(ISMS) 인증은 별개의 제도다. 가상자산사업자는 신고 수리를 위해 ISMS 인증을 갖춰야 하며, 정보보호 및 개인정보보호 관리체계(ISMS-P)는 여기에 개인정보보호 영역까지 추가한 인증제도다.

다만 인증은 일정 시점에 정해진 보안 관리 기준을 충족했는지를 확인하는 절차로, 모든 해킹 공격을 차단할 수 있다는 의미는 아니다.

금융보안원 관계자는 "인증을 부여한다는 것은 정해진 인증 기준을 충족하느냐는 뜻"이라며 "해킹 사고에 완벽하다는 것을 보장하는 것은 아니다"고 설명했다.

문제는 인증을 받은 이후에도 보안 체계가 실제로 작동하고 있는지, 새롭게 발견된 취약점에 적절히 대응하고 있는지를 충분히 검증할 수 있느냐다.

정부도 기존 인증 심사 방식의 한계를 인정했다. 개인정보보호위원회와 과학기술정보통신부는 지난 4월 발표한 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화 방안'에서 서면 중심의 심사와 특정 시점에 집중된 점검 방식의 문제를 지적했다.

현행 제도상 ISMS와 ISMS-P 인증의 유효기간은 3년이며, 인증 유지 여부를 확인하기 위해 매년 1회 이상 사후심사를 실시한다. 그러나 전문가들은 형식적인 기준 충족 여부를 넘어 실제 공격을 탐지하고 차단할 수 있는지를 확인하는 방향으로 점검 방식을 강화해야 한다고 지적한다.

인증 취득에 따른 과징금 감경 혜택도 사후관리 강화가 필요한 이유로 꼽힌다. 현행 기준에 따르면 개인정보보호위원회가 인정하는 인증을 받은 경우 일정 요건에 따라 1차 조정을 거친 과징금의 30% 이하를 감경할 수 있다.

인증을 받았다는 사실만으로 사고 이후 제재 부담이 줄어들 수 있는 만큼, 실제 보안 수준에 대한 검증 없이 감경 혜택이 주어져서는 안 된다는 지적이다.

황석진 동국대 정보보호대학원 교수는 보안 인증이 실질적인 보안 역량 강화보다 사고 이후 제재 부담을 줄이기 위한 수단에 머물 가능성을 우려했다.

황 교수는 "인증을 받았다는 이유만으로 안전하다고 평가하면서 실제 공격에는 취약하다면 인증과 현실 사이에 상당한 괴리가 있는 것"이라고 말했다.

이어 인증 갱신과 사후심사 과정에서 실제 보안 수준이 유지되고 있는지를 종합적으로 점검해야 한다고 강조했다. 특히 인증 우회와 응용프로그램 인터페이스(API) 취약점, 비정상적인 개인정보 조회 등을 겨냥한 모의 침투 훈련을 통해 공격 탐지·차단 능력을 검증해야 한다는 설명이다.

황 교수는 "실질적으로 해킹에 대응할 수 있는 역량이 되는지를 계속 점검해 줘야 한다"며 "연간 2~3차례 이상의 점검이 필요하다"고 말했다. 반복적으로 보안 사고가 발생하는 기업에 대해서는 인증 취소까지 검토할 필요가 있다고 주장했다.

금융보안원도 새로운 공격 방식에 대응할 수 있도록 인증 기준을 개선할 필요성에 공감하고 있다.

금융보안원 관계자는 "AI 등 공격 방식이 바뀌면 당연히 모든 평가도 이를 고려해야 한다는 것에 공감한다"면서도 "인증 제도를 바꾸려면 심사 기준도 바뀌어야 하는 과제가 있다"고 말했다.

이어 "ISMS 취소 등 법령 위반의 경우에 대비한 과제들을 준비해서 적용하려 하고 있다"며 "유관기관과 새로운 공격 방식을 인증 기준에 어떻게 반영하고 실효성을 높일지 논의하는 과제들도 시행할 준비를 하고 있다"고 설명했다.

chsn12@news1.kr