증권, 보험사 2016년 보안투자 동향

즐겨찾기추가

2024.05.21 (화)

기상청 제공

해당된 기사를 공유합니다
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사

NEWS

증권, 보험사 2016년 보안투자 동향

보안 ‘홀’막고, 정보보호 포탈로 상호 운영성 확보

방창완 편집국장 기자
등록 2015.11.30 12:28
조회수 1,853

증권, 보험사 2016년 보안투자 동향

<증권, 보험사> 보안 ‘홀’막고, 정보보호 포탈로 상호 운영성 확보

망분리, 취약점 점검, 사기방지 및 APT 투자 지속될 전망

내년도 주요 증권사 및 보험사들의 보안 투자는 FDS(사기방지시스템), 정보 오남용 방지시스템, 망분리, 대용량 보안로그분석 시스템 구축이 활기를 띨 것으로 보이는 가운데 정보보호 포탈시스템, 취약점 점검 등에 시스템 투자가 집중될 것으로 보인다. 또한 FDS 고도화 작업과 APT(지능형 공격)등에 꾸준한 투자가 예상된다.

방창완 편집국장 bang@ciociso.com

실제적으로 보안사고 이후 지난해와 올해 금융권에서는 상당부분 보안 솔루션 분야에 투자해 왔다. 아직도 보안에 미흡한 부분이 있어 추가적인 투자가 지속되고 있지만 업계에서는 앞으로는 보안이 탁상공론적인 보안이 아닌 실사를 겸비한 실질적인 보안이 되어야 한다고 보고 있다.

정보보호 포탈시스템은 그동안 개별적으로 진행했던 엔드포인트 영역의 보안 장치가 급격히 증가하면서 제대로 된 통제가 필요하다는 인식이 대두되고 있기 때문이다. 보안 시스템 구축이 증가하면서 이를 통합적으로 모니터링하고 상호 운영성이 보장될 수 있는 방안을 마련하는 것이 정보보호 포탈 시스템 구축의 주요 목적이다.


▲ 2016년도 증권, 보험사 보안투자전망

다양한 통제장치를 구축하고 있지만, 상호 운영성이 보장되지 못하면, 보안운영자가 보안에 홀(구멍)이 발생하는 것을 인식하지 못할 수 있다는 우려 때문이다. 이런 홀에 대한 방지책과 신종 지능형 위협 공격에 대한 대응은 앞으로도 지속적으로 투자해야할 부분이다.

이미 엔드포인드 영역을 비롯해 문서보안, DB보안, FDS, 물리적 통제장치 등 많은 영역에서 보안 솔루션에 투자한 기업들도 있지만, 보안은 속성상 새로운 루트를 통해 침범해 들어올 우려가 있어 이를 방어할 수 있는 새로운 솔루션에 대한 요구는 지속될 전망이다.

특히 지금까지 기업 상황에 따라 적용했던 보안정치들이 통합적으로 관리가 이뤄질 수 있도록 내부적으로 상호 연계하고 통제할 수 있는 기반을 마련하는 것이 내년도 보안 프로젝트의 주요 쟁점이 될 것으로 보인다.

NH투자증권은 내부통제 시스템을 통해 내부 취약점 점검을 강화해 내부에서 생길수 있는 홀(구멍)을 최소화하는 한편 3차 FDS(사기방지시스템)에 대한 고도화 작업에 나선다.

또한 정보보호 통합 모니터링 시스템 구축에도 나설 계획이다. 솔루션 종류 수도 늘어나고, 중복되는 기능도 많아 통합관리 및 상관분석을 통해 보안의 효율성을 꾀할 방침이다. 일종의 정보보호 포탈 시스템으로 개인별, 부서별, 본부별 파악을 통해 보안지수를 관리할 계획이다.

이와 함께 내년에 망분리 사업도 진행한다. 현재 전산센터 망분리가 이뤄진 만큼 내년에 본사 및 지점망에 대한 망분리 작업에 돌입할 계획이다. 이와 함께 항시 체크해야할 APT(지능형 공격)에 대한 고도화 작업도 진행할 예정이다. 신종 위협은 항시 있기 마련이어서 트렌드를 파악하고, 대비하는 체계를 갖춰나갈 방침이다.

하나금융투자, 정보보호포탈 구축

하나금융투자는 정보보호포탈 구축과 무선침입차단시스템, 취약점 점검 실행 등 3가지 부분에 중점 투자한다.

정보보호포탈 구축은 내년 9월, 차세대시스템 오픈시점에 맞춰 마무리할 계획이다. 정보보호포탈은 통합로그 관리와 대시보드 등 모니터링 시스템을 갖추는 것이다.

이와 함께 무선침입차단시스템은 현재 센터에만 구축되어 있지만, 올해까지는 본사 전체로 확대하고, 내년에는 지점에도 이를 확대시킬 계획이다. 와이파이를 이용한 무선 활용도가 증가하고 있는 만큼 우선적으로 이를 차단하고 관리하는데 주력할 계획이다.

취약점 점검은 내부적으로 점검할 수 있는 툴이 있지만, 부족 부분에 대해 수시로 진행하기로 했다. 이와 함께 USB에 대한 물리적인 통제장치와 함께 지문인식 시스템 접근 방법도 진행하고 있다. 지문인식부분은 그룹차원에서 기존의 공인인증서에 대응해 생체인식을 활용한 보안 부분을 고려하고 있다.

하나금융투자증권은 지금까지 예방차원에서 진행했던 보안영역에서 한발 나아가 예방 및 적극적인 보호 계획을 갖추고 통제장치 구축을 진행해 나갈 계획이다. 내년도 보안 예산은 교육비를 제외하고 26억원 정도의 예산을 세워놓고 있다.

한화생명, 망분리 및 기존보안 보완

한화생명보험은 IT 센터에 대한 망분리 프로젝트를 진행한 바 있다. 따라서 내년도 까지는 지점망에 대한 망분리 작업에 들어간다. 망분리를 위한 네트워크 장비와 망연계 솔루션도 검토하고 있지만, 아직까지 명확하게 제품을 결정한 상태는 아니다.

임직원들의 PC 자체를 물리적으로 분리하면 공간적인 어려움과 불편이 예상돼 논리적 망분리와 물리적 망분리 부분을 혼용해 효율화할 수 있는 방법을 검토하고 있다.

이와 함께 내년도에는 지금까지 구축했던 보안 프로젝트의 홀(구멍)을 보완하는 작업을 진행할 계획이다. 예를 들어, 단말기에 구축된 비밀번호에 대한 각각의 분리와 개별적인 암호화 장치는 되어 있지만, DB 접속시 배치 프로그램에 대한 통제 장치와 프로그램 안에 녹아있는 비밀번호를 변경하는 방안을 검토하고 있다.

한화생명보험이 내년에 특별히 중요성을 두고 있는 것은 홀을 보완하는 작업이다. 지금까지 내외부망에 대한 안전장치를 실행했지만, 이를 더욱 촘촘하게 그물을 엮듯이 위험성을 최소화하는 작업을 진행할 계획이다.

한화생명보험은 내년에 IT 예산의 7%인 100억원에 대한 예산을 계획하고 있다. 망분리 프로젝트에 60~70억원, 기타 홀을 보완하고, 새로운 프로젝트에 따라붙는 보안성을 검토하기 위해 20~30억원의 예산을 잡아 놓고 있다.

한화손해보험은 올해 보안 솔루션 구축을 진행한 만큼 내년부터는 실사 기반의 보안점검을 진행할 계획이다. 개인별로 정보를 많이 다루는 부서를 중심으로 수시적으로 모니터링 시스템을 가동하는 한편 퇴직 예정자와 같이 위험 요소에 대한 관리에 나설 계획이다.

하지만 여전히 보험 청약서와 문서관리 내용에 대한 홀(구멍)이 여전히 존재하고 있는 것으로 보여 이에 대해 끊임없는 방어하는 작업을 진행하고 있다. 이에 대한 일환으로 취약점 점검을 통해 업무 환경이 변화화면서 생길 수 있는 보안상 허점을 잡아 나갈 계획이다. 한화손해보험은 올해에 이어 내년에도 보안투자는 지속적으로 진행할 예정이다.

이미지 스캔에 대한 암호화, 디스크 암호화를 준비하고 있으며, 지난 2007년에 구축한 바 있는 권한관리 솔루션을 대폭 개선할 계획이다. 권한관리 분야는 직원들의 업무처리별, 담당별, 권한별로 조회할 수 있도록 하는 통제 솔루션으로, 사내 정보보호와 무분별한 정보 남용을 사전에 차단할 수 있다.

또한 ISMS(정보보호관리체계) 인증을 위한 프로젝트를 진행하는 한편 전 지점에 대한 망분리 프로젝트도 진행한다. 로그 분석과 함께 네트워크 트래픽에 대한 위험분석도 준비하고 있으며, 포렌식 분석은 현재 검토 중이다.

이와 함께 항상 위협요소로 대두되고 있는 APT(지능형 지속공격), 랜섬웨어에 대한 대응체계를 갖추기 위해 솔루션 도입을 계획하고 있다. 한화손해보험은 내년도 보안 예산을 30~40억원 정도 잡아 놓고 있다.

흥국생명, 유연한 시스템, 망분리, DB암호화

흥국생명은 지난 2005년 오픈한 정보 시스템이 노후화되어 차세대 프로젝트를 준비하고 있다. 내년 초 ISP 작업을 추진하면서 시스템과 채널에 대한 제반 구축에 돌입한다. 전체 차세대 시스템은 300~400억원 규모가 될 것으로 보인다.

차세대 시스템에서 주요 사안은 보험 경쟁력 강화를 위한 상품가격 통제와 상품 경쟁력 향상을 위한 유연한 시스템을 구축하는 것이다. 불완전 판매요소를 줄이고 비대면 채널을 위한 온라인 보험 시스템도 구축할 계획이다. 채널 단에서 고객음성인식 기능을 구축해 불완전 판매 요소를 줄여나갈 계획이다.

이 중에서 보안은 지점에 대한 망분리 프로젝트가 계획되어 있으며, 기간계 DB 암호화 작업도 준비 중이다. 흥국생명은 차세대 추진 시점에 맞춰 보안에 필요한 구체적인 사안들을 도출해 나갈 계획이다.

실사 겸비한 실질적 보안 이뤄져야

보험 및 증권사들은 우선 순위별로 개인별, 개인정보를 많이 다루는 부서를 수시로 모니터링을 할 필요가 있으며, 이상 징후가 발생하면 해당 부서장에게 알람을 띠워 경각심을 주는 행동을 하고 있다. 또 한편으로는 직접 전 지점을 순회하며 주요 점검요소가 제대로 이행되고 있는지 순회하는 방법도 실행하고 있다.

업계에서는 내년이 이미 구축한 보안 거버넌스가 직간접적으로 실제 운영되는 시점으로 보고 있다. 앞으로 증권 및 보험사들은 금융당국에서 주문하는 것 보다 더욱 강력한 내부통제 시스템을 가져할 것으로 보인다. ‘자율보안’이라는 책임 하에 이뤄지는 부분도 있지만, 보다 적극적이며, 세밀한 관리가 이뤄져야 안전한 금융 서비스가 이뤄질 것으로 보인다.

방창완 편집국장 기자의 전체기사 보기