2025년 디지털금융 및 사이버 보안 이슈.. 금융권 자율 보안 프레임워크
디지털 금융 환경이 급격히 변화하면서 금융권의 보안 패러다임도 전환되고 있습니다. 금융보안원은 금융사가 자체 보안 규정을 수립하고 운영할 수 있도록 △거버넌스 △위험 식별·관리 △내부통제 및 보호 △탐지 및 대응 △공급망 △복원력의 6대 분야를 중심으로 '금융권 자율보안 프레임워크'를 마련하고 있습니다. 금융사는 기존의 규제 중심 보안에서 벗어나 자율적인 보안 역량을 강화해야 하며, 이를 효과적으로 운영하기 위해 신뢰할 수 있는 보안 솔루션이 필수적입니다. 클라우드네트웍스는 이러한 변화에 맞춰 금융권이 자율보안 체계를 효율적으로 운영할 수 있도록 지원하는 다양한 보안 솔루션을 제공합니다.이번 블로그에서는 금융보안원이 선정한 2025년 디지털 금융 및 사이버보안 10대 이슈와 함께, 금융권 자율보안을 효과적으로 운영할 수 있도록 지원하는 클라우드네트웍스의 보안 솔루션을 소개합니다.✅ 2025년 디지털 금융 및 사이버보안 10대 이슈 금융보안원(원장 김철웅)은 금융회사가 앞으로 다가올 디지털 금융 변화 및 사이버보안 위험을 사전에 진단하고 대응할 수 있도록 ｢2025년 디지털금융 및 사이버보안 10대 이슈｣를 선정하였습니다. 금융회사는 `금융보안, 갈라파고스를 넘어 글로벌 수준으로 도약'을, 금융소비자는 `큐빅(QUBIC*)에 갇힌 금융소비자, 디지털 경계 주의보'를 핵심 메시지로 하였으며, 이슈 선정 과정에서 금융회사 현업종사자, 산･학계 전문가 등의 다양한 의견을 수렴하였습니다. 금융 회사① 금융보안 가치의 재정립, 10년의 뒤처짐을 넘어서자지난 10년간 국내 금융회사는 망분리에 의존하여 해외 대비 보안에 대한 투자가 소극적으로 이뤄졌던바, 망분리 규제 완화와 함께 자체 보안 역량 강화를 위한 움직임이 가시화될 것이다. ② 금융보안 DIY(Do It Yourself) 키트, 자율보안 프레임워크 정착 자율보안-결과책임 원칙에 입각한 정부의 新금융보안 체계 전환 추진에 선제적으로 대응하기 위해, 금융회사는 자사 환경에 맞는 `자율보안 프레임워크'를 구축･운영할 필요가 있다.③ 혁신과 버블의 갈림길에 선 AI, 실효성 및 안전성 검증 본격화망분리 규제 개선 등으로 AI를 적용한 금융서비스가 시장에 본격 출시될 것으로 보여, AI 실효성 검증과 함께 AI 거버넌스 및 위험관리 체계 구축에 대한 금융권의 움직임이 구체화될 것이다.④ 제3자에서 전략적 동반자로, 금융권과 CSP(Cloud Service Provider)간 안전한 협력 관계 모색금융 IT 분야에 클라우드의 영향력이 더욱 확대될 것으로 보이므로, 금융회사는 CSP를 단순 제3자가 아닌 영업 동반자(Big Player)로 인식하고 업무 협업 확대 등을 도모할 필요가 있다.⑤ 암호 인프라의 지각변동, 양자컴퓨팅에 선제적 대비양자컴퓨팅 기술의 발전으로 금융권 암호체계의 무력화가 점차 현실로 다가오고 있어, 금융회사는 양자내성암호 등 양자위험 대응 전략을 선제적으로 검토해야 할 것이다.금융 소비자⑥ (Qshing) QR코드를 스캔했을 뿐인데... 큐싱 경보 발령QR코드가 주문, 결제 등 생활 밀접 분야에 널리 활용되면서 이를 악용한 큐싱 공격이 본격화될 것으로 보이므로, 금융소비자는 QR코드 진위를 상시 확인하는 등 주의가 필요하다. ⑦ (Unreliable Persona) 당신 누구야? 신뢰할 수 없는 디지털 페르소나 경계전세계적으로 디지털 페르소나 악용 사례가 증가하고 AI와 접목하여 사기 기법이 고도화되고 있어, 금융소비자는 송금이나 개인정보 입력 등을 요구받는 경우 상대방의 신원을 철저히 검증해야 한다. ⑧ (Biometric) 내 지문이 왜 거기에? 생체정보 탈취 현실화생체기반 결제 등 금융 분야에 생체정보 활용이 확대됨에 따라 이러한 정보를 탈취하려는 공격이 현실화될 것으로 보이며, 금융소비자는 신뢰할 수 있는 대상에게만 본인의 생체정보를 제공하는 등 활용에 만전을 기하여야 한다.⑨ (Intensive Mobile) 내 모든 게 스마트폰에? 모바일 집중에 따른 위험전자금융, 신원 증명 등 모바일 집중화 현상이 가속화됨에 따라 이를 노리는 공격도 확대･고도화될 것이므로, 금융소비자는 최신 운영체제 업데이트 등 기본적인 보안 조치를 생활화해야 한다.⑩ (Crypto Market) 언제까지 차트만 볼래? Web 3.0과 연계한 가상자산의 미래 주목국내 가상자산 시장은 코인투자에만 집중된 경향이 있으나 해외는 Web 3.0의 기술적 가치를 높게 보고 관련 생태계(ecosystem)를 구축하려는 시도가 활발하므로, 국내도 미래를 준비하는 관점에서 Web 3.0 시대를 위한 전략을 고민할 필요가 있다.✅ 금융보안 DIY 키트, 자율보안 프레임워크 정착선정 이유 : 금융IT 환경의 급격한 변화와 사이버위험 고도화 등으로 정부는 자율보안으로의 전환을 추진 중이며, 금융회사는 자사 환경에 맞는 자율보안 체계를 마련·운영할 필요 (금융보안원은 「금융권 자율보안 프레임워크(가칭)」를 제공하여 이를 지원)1. 이슈 분석 | 금융권 자율보안 전환을 위한 법률적 토대 마련 진행정부는 금융권의 자율보안 체계 확립을 위해 규칙(Rule)에서 원칙(Principle) 중심으로 「전자금융감독규정」을 개정할 예정이며, 新 금융보안체계 구축을 위한 「디지털금융보안법(가칭)」 제정도 진행 中AI, 클라우드 등 IT 환경 변화와 더불어 사이버위협 또한 정교화·고도화되고 있어, 현행 규정 중심의 금융보안 체계로는 시의적절한 대응이 곤란한 상황이며, 그에 따라 자율보안으로의 전환은 더 이상 선택이 아닌 필수로 부각| 자율보안 전환을 위한 금융회사의 고민은 가중규정만 준수하면 보안 의무가 이행되는 수동적 관행에 익숙해져 있던 금융회사에게, 구체적 기준(규제, 가이드 등) 없이 스스로 보안을 책임져야 하는 자율보안으로의 전환은 많은 혼란을 야기할 것으로 예상해외 금융권은 신뢰할 수 있는 보안 프레임워크(CSF2), CRI Profile3) 등)를 활용하여 ①자율보안 지표 개발, ②자체 리스크 진단 프레임워크 구축 등 자율보안 체계 확립을 위해 노력2. 전망 및 대응 전략 | 국내 금융권에 맞는 자율보안 프레임워크 구축 필요정부는 「디지털금융보안법(가칭)」 제정을 통해 금융회사의 자율보안체계 수립·이행 검증 및 책임 부과 등을 계획하고 있어, 금융회사는 자사 환경에 맞는 자율보안 체계 마련을 준비해야 할 시점국내는 자율보안에 대한 구체적인 성공 사례가 없는 만큼, 글로벌 금융회사 등 해외 금융권 사례(CRI Profile 등)를 우선 벤치마킹하여 자율보안 프레임워크를 구축하는 방안을 고려| 금융보안원 「금융권 자율보안 프레임워크(가칭)」 활용금융보안원은 금융권의 안정적인 자율보안 체계 전환을 지원하기 위해 해외 선진 사례 등을 국내 환경에 맞게 커스터마이징한 「금융권 자율보안 프레임워크(가칭)」을 마련하여 제공할 계획금융회사는 금융보안원이 제공하는 「금융권 자율보안 프레임워크(가칭)」를 DIY5)키트(kit)로 적극 활용하여 자사 IT 환경에 맞는 보안 체계를 구축하는 등 다가오는 자율보안 시대에 선제적으로 대응■ 국내 금융권 자율보안 프레임워크 6대 분야(안)① 거버넌스 : 자율보안 전략 및 정책 수립, 구성원 보안 역할 및 책임 정의, 컴플라이언스, 보안 감사·점검 등② 위험 식별/관리 : 자산 식별 및 문서화, 보안 위협 및 취약점 파악, 위험도 평가, 위험 완화 조치 및 개선③ 내부통제 및 보호 : 시스템 및 접근 통제, 정보보호 교육, 데이터 보호, 기술 보안성 확보 등④ 탐지 및 대응 : 보안 이벤트 탐지, 위협 정보 파악 및 대응, 사고 조사 및 분석, 사고대응 체계 개선 등⑤ 공급망 : 금융 S/W 취약점 관리, S/W공급망 공격 대응, 클라우드 등 제3자 관리, SBOM 운영·관리 등⑥ 복원력 : 복원력 전략 및 계획 수립, 전사적 복원력 체계 확보, 복원력 훈련 등✅ 클라우드네트웍스 보안 솔루션클라우드네트웍스는 금융보안원이 제시한 자율보안 프레임워크에 맞춰 금융사가 보안 체계를 강화하고 자율적으로 운영할 수 있도록 검증된 보안 솔루션을 제공합니다. 금융 환경에 최적화된 기술을 통해 금융권이 변화하는 보안 요구사항에 효과적으로 대응할 수 있도록 지원합니다.▶ 쿼리파이(QueryPie) - 데이터·시스템 접근 통제 및 데이터 거버넌스 솔루션QueryPie는 IT 자산을 보호하는 통합 접근제어 플랫폼으로 궁극적인 방어 계층을 제공하여 기업의 가장 중요한 자산을 위협으로부터 안전하게 보호합니다. 통합된 제로 트러스트 프레임워크 내에서 데이터베이스, 시스템, 쿠버네티스, 웹 애플리케이션에 대한 통합 액세스 제어를 통해 신뢰할 수 있는 종합적인 올인원 보호 접근 방식을 확보할 수 있습니다.▶ 하시코프 볼트(HashiCorp Vault) - 시크릿 관리 및 데이터 보호를 위한 보안 솔루션 HashiCorp Vault는 시크릿, 인증서, 키 등의 자격 증명을 보호하는 클라우드 보안 자동화 솔루션입니다. HCP Vault Radar를 통해 비밀을 발견하고 토큰, 비밀번호, 인증서, 암호화 키 등의 동적 비밀을 중앙에 저장, 액세스, 순환 및 배포하여 플랫폼 및 보안 팀이 비밀의 확산을 제거하는 데 도움을 줍니다.▶ 스플렁크 보안(Splunk Security) - 실시간 보안 모니터링 및 위협 탐지를 지원하는 보안 플랫폼SplunK는 최고 수준의 데이터 플랫폼, 고급 분석, 자동화된 조사 및 대응을 통해 비즈니스를 보호하고 보안 운영을 강화할 수 있는 현대 SOC를 위한 데이터 기반 보안 제품군을 제공합니다. 포괄적인 가시성을 제공하고 상황에 맞는 정확한 탐지를 강화하며 운영 효율성을 높여주는 SIEM과 보안 워크플로우를 조율하고 몇 초만에 작업을 자동화하는 SAOR 솔루션을 제공합니다. ▶ SAORS - CVE 기반 실시간 위협동향 분석 및 위험관리 솔루션SAORS(Security Analysis of Risk Systems)는 신규 위협 정보를 수집하여 연동된 자산에 대한 위험 식별, 대응방안 제시, 이행 점검 기능을 제공하는 실시간 위협 정보 분석 및 위험 관리 솔루션입니다. 금융보안원, KISA, MITRE 등 국내외 주요 기관과 연동을 통해 중요 자산에 대한 보다 넓은 범위의 보안 위협에 선제 대응할 수 있는 통합 보안 솔루션입니다.▶ CN-Eye - 내부정보 유출 탐지 및 보안 모니터링 솔루션CN-Eye는 클라우드네트웍스가 빅데이터 플랫폼 Splunk Enterprise를 기반으로 개발한 모니터링 솔루션입니다. 다양한 시스템에서 발생하는 이상징후를 분석해 내부정보 유출 탐지와 Ctirix ADC 모니터링, HashiCorp Vault를 연계해 클라우드 보안 자동화 모니터링을 하는 3가지 솔루션을 제공합니다.
March 25, 2025
