금융보안원, 2017년 금융권이 주목해야 할 IT·보안 10대이슈 전망 발표

금융보안원, 2017년 금융권이 주목해야 할 IT·보안 10대이슈 전망 발표

작성일 2017-01-05

 

 

 

제목 : 금융보안원, 2017년 금융권이 주목해야 할 IT‧보안 10대이슈 전망 발표

  - 블록체인, 빅데이터, 클라우드 등 新기술의 금융권 도입 본격화
  - 금융의 인공지능(Artificial Intelligence) 시대 개막
  - 랜섬웨어, APT 등 금융권 대상 표적공격 확대 등

1

 2017년도 금융 IT․보안 10대 이슈 전망

□ 금융보안원(원장 허창언)은 4차 산업혁명 시대 도래에 따른 환경변화에 금융권이 적극적으로 대응하고, 금융회사가 IT 및 보안전략 수립시 활용할 수 있도록

  ㅇ 국내·외 관련 자료에 대한 빅데이터 분석과 금융회사 온라인 설문조사, 전문가 인터뷰 등을 병행하여 올 한해 금융권이 주목해야할 IT·보안 10대 이슈를 선정하여 발표하였다.
 
<10대 이슈 선정 절차>

<2017년 금융 IT‧보안 10대 이슈>

키워드
주요 내용
블록체인
구체화 되어가는 금융권 블록체인 기반 서비스
빅데이터
부상하는 빅데이터 산업, 금융업계 새로운 기회
클라우드
금융권 클라우드 시대 돌입, 서비스 수요 확대
사물인터넷
사물인터넷 영역, 결제서비스 등 금융 분야로 확산
바이오인증
바이오인증 기술의 적용 확대, 본격화되는 인증방법의 다양화
로보어드바이저, 챗봇
로보어드바이저, 챗봇 등 사람의 판단을 대신하는 서비스 확산
인공지능
인공지능 채택, 금융권 지능화된 보안 시대로 진입
랜섬웨어
기업형으로 발전하는 데이터 인질극 랜섬웨어
지능형 지속위협(APT)
소리없이 커가는 ‘사이버암세포’ 지능형 지속위협(APT)
제3자 및 내부자 보안
제3자 및 내부자 보안관리 중요성 증대

□ 금융보안원은 블록체인, 빅데이터 등 新기술 금융서비스들이 올해 본격적으로 금융권에 확산될 것으로 전망하였다.

  ㅇ 금융권의 IT비용 절감을 위한 클라우드 서비스 수요 증가와 블록체인, 사물인터넷 기반 금융서비스* 구현에 대한 논의가 활발하게 진행될 것으로 예상하고,

      * 스마트TV 간편결제, 차량진단장치를 활용한 운전습관 연계 보험상품 개발 등 사물인터넷과 금융이 연계된 서비스 개발 확산 추세

  ㅇ 빅데이터 활용을 통한 혁신적인 금융서비스 개발이 가속화되고, 금융권의 비대면 거래 확대에 따른 바이오인증 등 인증방법이 다양화될 것으로 예측하였다.

□ 또한, 금융보안원은 금융서비스나 보안 분야에서 사람을 대신하는 인공지능 기술의 활용이 점차 확대될 것으로 전망하였다. 

  ㅇ 지능화된 로봇이 자산관리를 대신하는 로보어드바이저의 급성장*과 인간을 흉내내어 상담업무 등을 처리하는 챗봇(Chatter+Robot)의 활용 증가와 더불어,

     * (‘14년) 874억원 → (‘16년, 예상) 2,108억원 → (‘18년, 예상) 5,081억원 → (‘20년, 예상) 12,250억원 <출처 : KISTI Market Report>

  ㅇ 기존 보안관제시스템에 인공지능 기술을 접목하여 다각도로 공격을 탐지하는 인공지능 보안시스템의 구축도 확대될 것으로 예상하였다.

□ 마지막으로 금융보안원은 금융권을 표적(Target)으로 하는 사이버공격이 올해도 지속될 것으로 내다보고 각별한 주의를 당부하였다.

  ㅇ 특히, 기업형으로 진화한 랜섬웨어가 금융회사를 대상으로 정교한 공격*을 시도할 위협이 있고, APT공격도 더욱 지능화·고도화될 것으로 전망하였으며,

      * CD/ATM기기, 카드(POS)단말기 등 금융시스템을 공격하는 랜섬웨어가 확산될 가능성이 있다는 의견이 해외 보안업체(카스퍼스키랩, 트렌드마이크로)의 2017년 전망보고서를 통해 발표

[참고] 랜섬웨어, APT공격 용어 정의
     

• 랜섬웨어* : 데이터를 무단으로 암호화한 후 암호 해제를 대가로 금품을 요구하는 악성 소프트웨어의 일종
                 * Ransom(몸값)과 Software(소프트웨어 또는 멀웨어[Malware])의 합성어

• APT*공격 : 특정 대상에 침투하여 금전적 이익 등 소기의 목적을 달성할 때 까지 지속적으로 이어지는 지능적이고 고도화된 공격
                 * APT : Advanced Persistent Threat

  ㅇ 제3자나 내부직원 등에 의한 보안사고 예방을 위해 내부자 모니터링 체계 구축 등 다양한 보안시스템의 구축이 금융권에 확대될 것으로 관측하였다.

2

 금융보안원 역할

□ 허창언 금융보안원 원장은“지난해 정보보호업체의 코드사인인증서 유출* 사실을 조기에 발견하여 금융권 피해를 예방하는 등 금융보안원이 본연의 역할에 충실하였다”고 평가하고,

    * 보안프로그램 배포에 활용되는 코드사인인증서가 유출된 사고로 공격자는 이를 이용해 악성코드를 정상 프로그램으로 위장·유포하여 금품탈취 등 2차 공격 가능 (사전 대응으로 금융권 피해 無)

  ㅇ“올해는 블록체인 테스트베드 구축, 빅데이터 활용을 위한 개인정보 비식별조치 지원 활성화 등 금융권 4차 산업혁명에 대비한 선제적 보안강화에 집중하겠다”는 의지를 밝혔다.

□ 끝으로“新기술 발전에 따른 기회를 활용함과 동시에 필연적으로 따라오는 보안문제를 금융권이 함께 고민하고 해결하는 것이 중요하다”고 언급하면서,

  ㅇ“나날이 증가하는 보안위협에 대응하기 위해서는 최고경영자(CEO)부터 업무 일선의 직원까지 모두를 아우르는 전사적인 보안체계의 정립이 무엇보다도 중요하다”는 점을 강조하였다. 끝.

※ [별첨 1] 2017년 금융 IT·보안 10대 이슈 전망 인포그래픽
   [별첨 2] 2017년 금융 IT·보안 10대 이슈 전망 보고서

별첨 1

 2017년 금융 IT·보안 10대 이슈 전망 인포그래픽

INSIDabcdef_:MS_0001MS_0001
1. 구체화 되어가는 금융권 블록체인 기반 서비스
▶ 블록체인 : 거래 정보를 담고 있는 원장을 분산 저장하여 특정인이 임의 조작을 하기
어렵도록 설계된 자료저장 형태
n 이슈 및 전망
¡ 금융권의 블록체인 기반 금융서비스 개발 구체화
금융당국의
블록체인 육성정책*, 은행 및 금투업권의 블록체인 컨소시엄
구성 등 금융권의 블록체인 기반 서비스 개발 논의가 본격화
* 금융위원회「2단계 핀테크 발전 로드맵」기본방향(`16.10.24.)
글로벌
블록체인 협의체(R3CEV1) 등)에서는 블록체인에 대한 기술검증과
파일럿 테스트 등을 통해 금융권의 블록체인 상용화를 추진 중
¡ 비용절감 등 블록체인 효과에 대한 금융권 기대 확산
블록체인은
거래과정에서 중개자(청산결제 기관, 공증기관 등)가 불필요한
구조로 IT구축.운영 비용이 절감되고 금융거래의 안전성도 제고될 것으로 기대
※ 다만, 블록체인을 활용한 금융거래는 거래취소가 어려운 점등 한계가 존재
구분 내용
LG경제연구원 거래비용의 약 30% 절감 예상
골드만삭스 미증권시장의 예치금 약 75% 감소 예상
산탄데르 은행 2022년까지 은행 인프라 비용(연간) 150～200억 달러 절감 예상
맥킨지 금융시스템 분산화에 따른 연간 약 23조원 절감 예상
<블록체인 도입에 따른 영향>
n 대응전략
v 블록체인을 활용한 금융서비스 개발이라는 글로벌 추세를 감안하여
신규 서비스를 중심으로 블록체인의 적용 가능성을 우선 검토할 필요
v 기술적 문제와 어려움 등으로 인해 기존 모든 금융서비스를 블록체인으로
대체하기는 어렵다는 사실도 함께 인식할 필요
1) R3 Crypto, Exchanges and Venture practice : 금융서비스 개발 스타트업 기업 R3가 진행하는 프로젝트로 유수의
금융회사(Barclays, JP Morgan 등 50개 이상)가 참여하고 있으며, 블록체인 표준 마련 등 전 세계 금융망의 통합 등을
추진 목표로 삼고 있음

INSIDabcdef_:MS_0001MS_0001
2. 부상하는 빅데이터 산업, 금융업계 새로운 기회
▶ 빅데이터 : 대량의 데이터 집합으로부터 가치를 추출하고 결과를 분석하는 기술
n 이슈 및 전망
¡ 빅데이터 산업의 성장은 금융회사에 새로운 기회 제공
빅데이터는
제4차 산업혁명의 핵심 기반 기술로 전 세계적으로 관심이 증가
금융회사는
빅데이터 도입을 통해 혁신적인 상품 및 서비스 개발 기회가
많아져 경쟁력 강화는 물론 비용절감도 가능할 것으로 기대
¡ 금융회사의 안전한 빅데이터 활용에 대한 관심 증대
빅데이터의
적용 범위가 산업 전반으로 확대됨에 따라, 금융회사 및 핀테크
기업 상호간 비식별화된 개인정보의 결합.활용에 대한 관심이 고조
※ 한편, 비식별화된 개인정보 이용에 대한 개인정보자기결정권 등 이슈가 주요 논의
과제로 부각될 전망
(출처: Peer Research)
<글로벌, 빅데이터 분석 산업별 도입 현황> <빅데이터 기술 금융권 활용 예시>
금융회사 활용 예시
Bank of
America
개인 금융의 신용리스크 산출 모델
설계, 신용도 평가 및 사후 관리
Cayman
Atlantic
고객의 특성 등을 분석하여 신상품
기획 및 마케팅
JP Morgan
사고 방지를 위한 내·외부 보안
업무 강화 등
n 대응전략
v 정부의 빅데이터 산업 육성 정책을 감안하여 금융회사도 빅데이터 활용을
확대하되, 중요정보가 유출되지 않도록 비식별화 조치 등 보안관리를 철저
v 금융권의 적극적인 빅데이터 활용을 위해서는 개인정보 비식별 조치 지원
기관 등을 적극 활용하는 전략 필요

INSIDabcdef_:MS_0001MS_0001
3. 금융권 클라우드 시대 돌입, 서비스 수요 확대
▶ 클라우드 : 네트워크상의 제3의 공간에 프로그램이나 데이터를 두고 필요할 때 마다
이에 접속하여 업무 등을 처리하는 환경
n 이슈 및 전망
¡ 금융권의 클라우드 이용이 확대될 것으로 전망
전산비용
절감 등을 위해 금융회사의 클라우드 이용이 증가할 것으로 보이며,
비중요시스템으로 제한된 현 클라우드 이용범위에 대한 확대요구도 늘어날 전망
¡ 금융회사의 클라우드 환경 도입에 따른 보안성 우려
비중요시스템으로
지정된 일부 전산시스템에 한해 금융회사도 클라우드
이용이 가능하도록 규제가 개선되었으며, 금융보안원은 관련 가이드를 발간
하여 안전한 클라우드 이용을 지원
다수
이용자가 공유하는 클라우드 서비스의 특성상 정보통제권, 데이터
기밀성 유지 등에 대한 보안 이슈가 지속적으로 제기될 전망
(출처: Cloud Security Alliance)
<클라우드 관련 보안 우려사항*>
* 글로벌 은행, 보험회사, 투자회사, 정부 관계자 등 102명을 대상으로 5점 척도로 조사한
결과, 데이터 기밀성 유지, 정보 통제권, 데이터 유출, 컴플라이언스와 법적 이슈, 데이터
손실 등이 클라우드 관련 주요 보안 우려사항으로 나타남
n 대응전략
v 비중요시스템을 시작으로 금융권의 클라우드 서비스 도입 필요성과
장단점 등을 본격적으로 검토할 시점
v 클라우드 활용에 따른 정보통제권 등 보안이슈를 고민하고 이에 대한 대응
방안을 마련할 필요

INSIDabcdef_:MS_0001MS_0001
4. 사물인터넷 영역, 결제서비스 등 금융 분야로 확산
▶ 사물인터넷(IoT2)) : 각종 사물에 센서와 통신 기능을 내장하여 인터넷에 연결하는 기술
n 이슈 및 전망
¡ 금융서비스와 IoT 기기의 융합 확대로 보안과제 증가
(출처: Deloitte, Gartner)
* 상업 부동산(Commercial Real Estate): 임대료 등 수익을 목적
으로 하는 부동산을 일컫는 말로서 오피스 빌딩, 임대형 아파트,
쇼핑센터 등 다양한 형태를 포함. 상업 부동산에는 최근 에너지
관리, 보안 등과 관련해 IoT 센서가 도입되고 있음
<글로벌 금융서비스 부문의 IoT 센서 배치규모 확대 전망>
기존의
금융 서비스와 IoT
기기의 융합**이 본격화되고
있어, 기기 인증과 데이터무결성
확보 등이 주요 보안과제로
대두될 것으로 전망
** 스마트 TV 콘텐츠 간편 결제(삼성, LG), 이동형 동산 담보의 실시간 확인을 통한 대출투자
리스크 관리(핀텍펀딩), 자동차 센서로 수집한 운전 습관에 따른 보험료 차등 적용 등
¡ IoT 기기는 설계 단계부터 보안성을 고려할 필요
IoT기기의
운영체제(OS)는 물론 H/W 및 S/W에 이르기까지 설계 단계
부터 보안을 면밀히 고려할 필요
특히
2017년에는 IoT 기기에 적용 할 수 있는 보안 기술의 개발과 표준화 등의
연구*도 지속될 전망
* ITU-T SG17(IoT 암호화기법, 보안가이드라인연구), IETF ACE 워킹그룹(IoT 인증 및권한연구)
n 대응전략
v IoT기반 금융서비스의 보안성 확보를 위해 기술검증, 모니터링 등 보안
관리 방안을 마련할 필요
v IoT는 소프트웨어 취약점뿐만 아니라 센서, 디바이스의 보안수준까지도 다
각도로 점검하는 것이 필요
2) IoT: Internet of Things

INSIDabcdef_:MS_0001MS_0001
5. 바이오인증 기술의 적용확대, 본격화되는 인증방법의 다양화
▶ 바이오인증 : 지문, 홍채, 얼굴, 음성 등 다양한 바이오 정보를 이용하여 간편하게
사용자를 인증하는 기술
n 이슈 및 전망
¡ 공인인증서 사용의무 폐지로 다양한 인증방법 등장
전자금융거래시
공인인증서 사용의무 규제가 폐지되면서 생체(지문, 홍채 등)
인증, NFC3)인증 등 다양한 인증방법이 출시
※ 금융감독원은 금융소비자 편의성 제고 차원에서 금융회사의 공인인증서 대체수단
도입을 적극 독려
¡ 비대면 금융거래 확대에 따른 바이오인증 활용 증가
(출처: 한국과학기술정보연구원)
<바이오인증 시장규모>
(단위 ; 억 달러, 억 원) 금융권의
비대면 채널
보급이 확대되고 있어
본인식별을 위한 바이오
인증의 활용이 더욱
증가할 것으로 예상
생체인증
표준화기구(FIDO4) 얼라이언스)와 글로벌 카드사 연합체(EMV5))가
서로 협력하여 모바일 결제 표준화를 진행 중에 있으므로 지급결제에서
바이오 인증의 활용이 본격화 될 전망
n 대응전략
v 공인인증서 사용의무 폐지 등으로 금융회사는 보안성 및 자사의 업무 특성
등을 고려하여 적절한 인증방법을 스스로 선택할 필요
v 바이오인증은 활용성과 편리성 측면에서는 장점이 분명하지만, 민감한 개인
정보에 해당되므로 활용시 안전성 등을 면밀히 분석할 필요
3) Near Field Communication, 근거리 무선 통신
4) Fast IDentity online, 온라인 환경에서 생체인식 기술을 활용하여 보다 편리하고 안전하게 개인 인증을 수행하는 기술
5) Europay, MasterCard, Visa

INSIDabcdef_:MS_0001MS_0001
6. 로보어드바이저, 챗봇 등 사람의 판단을 대신하는 서비스 확산
▶ 로보어드바이저: 자동화된 지능형 투자자문 서비스 (Robot + Advisor)
▶ 챗봇: 인간의 대화를 흉내 내어 상담 업무 등을 처리하는 대화형 메신저 (Chatter + Robot)
n 이슈 및 전망
¡ 로보어드바이저, 챗봇 등 인공지능을 활용한 서비스 증가
인공지능
기술의 발전으로 국내·외에서 로보어드바이저 자산관리서비스가
빠르게 성장하고 있으며, 국내 일부 은행에서는 챗봇 서비스 출시 계획을 발표
※ 미국은로보어드바이저의관리대상자산이빠르게증가(출처: MyPrivateBanking, ‘Robo-Advisor Report’)
: (‘14.6월) 157억 달러 → (‘14.12월) 190억 달러→ (‘15.6월) 210억 달러 →(‘17.예상) 867억 달러
금융위원회는
로보어드바이저의 안정성 및 보안성 확보를 위한 테스트베드*
운영 방안을 발표(‘16.8월)
※ 사전심사(0.5개월), 본심사(6개월 이내), 최종심의(0.5개월)를 통해 시스템 안정성·보안성 등을
중점심사(‘16.9월부터‘17.4월까지29개기업대상1차테스트베드가진행중이며, ’17년상반기중
2차 테스트 베드 진행 예정)
¡ 인공지능 기반 금융서비스의 보안우려 제기
(출처: KISTI Market Report)
<로보어드바이저 국내 시장 전망>
(단위 ; 억 원) 인공지능
서비스의 오류 또는
해킹 사고는 대규모 투자손실 등
금전적 피해로 연결될 가능성이
높아 이에 대한 대책 마련이
필요
n 대응전략
v 인공지능 기술이 고도의 판단이 필요한 영역까지 활용 범위를 확대
하고 있어 금융서비스에서의 활용 가능성을 진지하게 고민할 시점
v 인공지능이 사람의 판단을 대신하는 만큼 오류나 해킹 사고는 막대한
금전적 피해가 예상되므로 보안성에 대한 검증을 철저히 이행할 필요

INSIDabcdef_:MS_0001MS_0001
7. 인공지능 채택, 금융권 지능화된 보안 시대로 진입
▶ 인공지능 보안 : 공격 데이터 등을 스스로 분석하여 학습하고, 학습결과를 바탕으로
알려지지 않은 공격도 사전에 예측하고 탐지·대응할 수 있는 기술
n 이슈 및 전망
¡ 신속하고 유연한 공격 대응을 위해 인공지능 기술 활용 증가
국내.
외 보안 기업들은 인공지능 기술을 적용한 웹해킹 탐지·차단, 실시간
보안 위협 패턴 분석 등의 솔루션을 경쟁적으로 출시 중
딥러닝6)
을 이용한 위험도 분석과 거래 데이터 학습을 통해 이상 금융거래를
판별하는 기법이 해외를 중심으로 적극 활용되는 추세
¡ 인공지능 기술을 활용한 침해위협 대응 확대
수많은
침해공격 시도를 사람이 모두 분석하기는 어려우므로 보안관제
등 보안업무에 인공지능 기술의 활용이 확대될 전망
(출처 : 소프트웨어정책연구소)
<침입 탐지 및 예방 분야에서 인공지능 활용>
기존
보안관제 및 이상거래 탐지 기술과 인공지능 기술을 조합하여 다각적
으로 탐지 및 예방이 가능한 보안시스템 구축이 확산될 전망
n 대응전략
v 점차 고도화되는 보안위협에 대응하기 위해서는 정보수집이나 분석
등에 인공지능 기술을 활용할 수 있는 역량확보 필요
v 인공지능 시스템이 이상징후를 모니터링하고 이를 알려주면, 보안인력이
중요한 이벤트에 대해서만 선별적으로 대응하는 협력 시스템 구축을
본격 검토할 필요
6) 딥러닝: 컴퓨터가 여러 데이터를 이용해 마치 사람처럼 스스로 학습할 수 있게 하기 위해 인공 신경망을 기반으로 한
머신러닝(인공지능의 연구 분야 중 하나로, 인간의 학습 능력과 같은 기능을 컴퓨터에서 실현하고자 하는 기술) 기술

INSIDabcdef_:MS_0001MS_0001
8. 기업형으로 발전하는 데이터 인질극 랜섬웨어
▶ 랜섬웨어 : 데이터를 무단으로 암호화한 후 암호 해제를 대가로 금품을 요구하는
악성 소프트웨어의 일종
* Ransom(몸값)과 Software(소프트웨어 또는 멀웨어[Malware])의 합성어
n 이슈 및 전망
¡ 금융회사의 랜섬웨어 피해 가시화
`
16년 초부터 일명 ‘로키(Locky)’ 등의 랜섬웨어가 국내 금융회사에 지속적
으로 유입되는 상황
(출처: 한국랜섬웨어 침해대응센터)
<2016년 상반기 국내 랜섬웨어 침해신고 통계>
(단위 ; 건)
최근
조사*에 따르면 금융
회사의 55%가 랜섬웨어를
가장 큰 위협으로 생각하고
있으며, 32%는 10만~50만
달러의 손실을 입은 것으로 나타남
* “2016 Survey on Security and Risk in
the Financial Sector” (SANS, `16.10월)
※조사대상238개 금융회사(미국67%,
기타 국가 33%)
¡ 금융시스템 등에 대한 새로운 랜섬웨어 공격 가능성 제기
. ATM기기, POS단말기 등 금융시스템으로 랜섬웨어가 확산될 가능성이
있다는 의견이 국외 보안업체에서 제기*
* 카스퍼스키랩 및 트렌드마이크로의 2017년 전망 보고서(`16.11월～12월)
금융권에
도입될 예정인 클라우드 서비스를 공격하는 랜섬웨어도 등장할
것으로 전망
n 대응전략
v 기업형으로 진화한 랜섬웨어가 금융회사를 표적으로 정교한 공격을
시도할 가능성이 있으므로 각별한 주의가 필요
v 랜섬웨어로 인한 피해 예방을 위해 PC 백업 등 보호대책을 마련하고,
우회경로를 통한 감염이 발생하지 않도록 유의

INSIDabcdef_:MS_0001MS_0001
9. 소리 없이 커가는 ‘사이버 암세포’ 지능형 지속위협(APT)
▶ APT7) : 특정 대상에 침투하여 금전적 이익 등 소기의 목적을 달성할 때 까지
지속적으로 이어지는 지능적이고 고도화된 공격
n 이슈 및 전망
¡ 금융권 APT공격 확대에 따른 이메일 보안강화 필요
최근
금전적 이익을 목적으로 금융회사를 대상으로 한 APT공격이 확대
되고 있어 침해사고 발생에 대한 우려가 고조
* 해커그룹 ‘카바낙(Carbanak)’은 전 세계 30개국 ATM등을 해킹하여 2년간(‘14～15) 1조원 탈취
(출처: Kaspersky Lab)
<Carbanak 해커그룹의 APT 공격 흐름도>
최근
APT 공격 상당수가 특정인을
표적으로 삼은 스피어피싱에서 시작
된다는 점에서 이메일 보안에 관심이
높아지고 있으며 2017년에는 이와
관련한 보안 수요가 확대될 전망
¡ APT 공격에 대한 탐지.대응을 위해 다양한 보안수단이 동원될 전망
내부직원의
컴퓨터 사용 및 시스템 접근 기록 등을 분석하여 APT공격 징후
등을 탐지하는 기술 확보 필요
내부자
인증 강화, 망 분리, 모의해킹 테스트 등 다양한 보안수단을 복합
활용하는 탐지.대응체계 구축 필요성 제기
n 대응전략
v 금융회사 직원 누구나 APT공격 대상이 될 수 있다는 점을 늘 염두에
두고 대비할 필요
v APT 공격은 단편적인 방법으로 대응이 불가능하므로 단계별 보안 수단
활용 및 정보보호 담당자의 지속적인 보안관리 및 모니터링이 필요
7) APT: Advanced Persistent Threat

INSIDabcdef_:MS_0001MS_0001
10. 제3자 및 내부자 보안 관리 중요성 증대
▶ 제3자 : 금융회사와 업무 위수탁 관계에 있는 기관, 계약관계에 있는 협력업체,
자회사 등 모든 외부 관련기관을 의미
n 이슈 및 전망
¡ 제3자 및 내부직원을 통한 금융권 보안 사고 증가
`
16년 2월 정보보호업체 코드사인인증서 유출사고*에서 보듯 외부업체의
취약점이 금융권으로 연계될 위험 존재
* 보안프로그램 배포에 사용되는 코드사인인증서가 유출된 사고로 이를 이용해 악성코드를
정상 프로그램으로 위장하여 유포 가능
과거
발생한 금융권 대규모 정보 유출사고*도 내부직원 또는 협력업체
직원에 의해 발생
* 사례: 2014년 카드3사(협력), 2013년 A은행(협력/내부), 2013년 B캐피탈(내부) 등
¡ 금융권의 제3자 및 내부직원 보안관리 강화 확대
제3자
및 내부직원에 의한 사고발생에 대비하기 위해 내부자 행위 분석
(User Behavior Analytics, UBA) 등을 통해 이상 징후를 포착하고 모니터링하는
체계가 확산될 것으로 전망
(출처: Ponemon Institute)
<사이버 리스크 관리에 따른 비용절감 효과(설문조사 대상 기업 평균)*>
(단위 ; 백만 달러)
* 글로벌사이버보안전문가280명을대상으로사이버리스크관리를통해절감된비용을조사
n 대응전략
v 외부에서 유입된 전산기기, 협력업체 직원 등으로 인해 발생하는 보안
리스크를 전사적으로 철저히 분석하여 대책을 마련할 필요
v 내부자 이상 행위 분석 등을 통해 내부직원에 의한 보안 사고를 보다
적극적으로 탐지 및 대응할 필요