Cover story∣ 하나금융투자 윤영준 상무(CISO)

즐겨찾기추가

2024.05.20 (월)

기상청 제공

해당된 기사를 공유합니다
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사

ROUNDTABLE

Cover story∣ 하나금융투자 윤영준 상무(CISO)

보안 통합 모니터링과 고객관점 DB설계로 가시성 확보

방창완 편집국장 기자
등록 2017.02.28 11:50
조회수 1,733

Cover story∣ 하나금융투자 윤영준 상무(CISO)

하나금융투자, 차세대 통해 철저한 보안프로세스 체계 구축

보안 통합 모니터링과 고객관점 DB설계로 가시성 확보

하나금융투자가 지난해 차세대 프로젝트를 마무리했다. 차세대는 노후 된 설비를 교체하고, 새로운 시장 환경에 맞춰 민첩하게 대응하기 위해 기업 IT 프로세스를 재편하는 것에 의미를 두고 있지만, 보안도 빼놓을 수 없는 중요한 요소다. 하나금융투자 보안을 이끌고 있는 윤영준 상무(CISO)를 만나 이번 보안 프로젝트에서의 의미와 가치에 대한 이야기를 들었다.

방창완 편집국장 bang@ciociso.com

하나금융투자는 최근에 차세대 프로젝트를 마무리하면서 정보보안 분야에도 많은 노력을 기울였다. 같은 계열사인 하나은행과 하나카드의 전산 규모가 큰 부분이 프로젝트 진행에 많은 도움을 줬다. 특히 하나카드 보안 프로세스는 오랜 시간 컨설팅 과정을 거쳐 진행했던 프로젝트로, 과정상의 많은 경험이 녹아있다.


▲ 하나금융투자 윤영준 상무(CISO)

하나금융투자의 보안 인프라는 국내 금융 기업들이 금융사고 이후, 망분리를 비롯해 내외부 데이터를 원천 자단하기 위해 다양한 솔루션들을 구축한 이후 흔히 접할 수 있는 애로를 파악하고 이를 해결했다는데 의미를 부여할 수 있다. 문서보안을 비롯해 DB보안, 물리적으로 보조기억매체를 관리하거나, NAC(네트워크접근제어)와 같은 요소, 이메일 보안, 방화벽 등 과거에는 없었던 보안 요소들을 구축했지만 이에 따라 솔루션 규모는 늘고 관리해야 할 대상은 많아졌다.

통합관리 모니터링이 원활하게 이뤄지는 구조 설계

하나금융투자의 윤영준 상무(CISO)는 이번에 보안 프로젝트를 진행하면서 “그동안 사고가 날 때마다 지엽적인 솔루션을 채택하는 경향이 있었다. 그때 그때 요구에 따라 다양한 솔루션들이 설치되다보니, 짜깁기 형식이 되는 경우도 있고, 중복이 많아 새롭게 필터링을 할 필요가 있었다”고 말했다.

금융 업계에 따르면 기업들이 보안 인프라를 구축하면서 느끼는 부분이지만, 시급한 상황과 금융 당국의 권고에 따라 솔루션을 구축하면서 시스템이 무거워지고, 관리에 대한 부담이 따른다는 지적이 있다. 이에 하나금융투자는 이번에 차세대 프로젝트를 진행하면서 보안 요소들에 대한 재구성을 통해 통합관리와 모니터링이 원활하게 이뤄지는 구조로 새롭게 프로세스를 설계했다.

또한 과거에는 주로 IT 관리자 관점에서 보안 프로젝트가 진행됐으며, 서버나 단말기 관점에서 프로세스가 진행되면서 파악하고자 하는 실제 데이터를 얻지 못하는 경우가 있었다. 이번 기회에 하나금융투자는 개인정보 관점에서 데이터를 파악하고 관리할 수 있는 ‘통합 로그 시스템’을 새롭게 구축했다.

체계적인 프로세스를 구축하면서, 데이터 생성에서부터 보안등급을 부여해 원활한 관리가 이뤄지도록 했으며, 계좌개설의 경우에도 데이터에 보안 등급을 부여해 등급에 따라 비밀번호나 개인식별번호를 관리하는 체계를 만들었다. 등급에 맞춰서 데이터를 정비하고, 주요 데이터에 대해서 등급별로 암호화를 진행했다.

고객관점 DB 설계로 가시성 확보

애초 DB 설계에서부터 이런 정책을 녹여냄에 따라 모든 데이터가 고객과 보안관점에서 정리되고 가시성이 확보되는 효과를 가져온 것이다. 하나금융투자 윤영준 상무(CISO)는 이런 체계적인 구성이 앞으로 보안에 있어서 가시성을 확보하고, 보안부서가 회사의 기밀을 지키며 컨트롤 타워 역할을 하는데 많은 도움이 될 것으로 본다“고 말했다.


▲ 윤영준 상무는 지금까지 과정이 기본적인 보안 정책을 설계하고 이를 구현하는 과정이었다면, 앞으로는 운영이 중요하다는 점을 강조한다.

이와 함께 하나금융투자는 차세대 프로젝트를 진행하면서 유의미한 데이터를 분석하고, 취약점을 발견해 지속적으로 홀(구멍)을 메꾸는 작업을 진행하고 있다. 윤영준 상무는 지금까지 과정이 기본적인 보안 정책을 설계하고 이를 구현하는 과정이었다면, 앞으로는 운영이 중요하다는 점을 강조한다.

보통 정보유출의 경우, 외부 침입에 의한 유출보다는 내부자에 의한 정보유출 및 협력사에 의한 정보유출이 많은 것이 현실이다. 기업마다 다양한 보안장치를 설정하고 있지만, 사실 내부직원관리는 기업문화에 있어서 가장 세심하게 배려해야 할 부분이다. 하나금융투자 보안부서는 우선은 퇴직자 관리부터 무게중심을 두고 있다.

직원이 퇴직 몇 개월 전부터 관리에 들어간다. 퇴직을 앞둔 직원의 경우, 지점과 부지점장이 통보하도록 하고 있으며, 과거 몇 개월간의 이력 파악을 통해 이상 징후를 파악하는 등 로그 관리에 만전을 기하고 있다. 따라서 퇴직 전에 혹시라도 있을 수 있는 불미스러운 일을 방지하는데 주력하고 있다.

윤영준 상무는 “보통 퇴직 전에 정보유출 개연성에 대해 파악 한다. 흔적이 남아 있는 부분이 있기 때문에 로그관리를 통해 각 지점과 긴밀하게 커뮤니케이션 하고 있다”고 말했다. 이런 관리는 혹시라도 있을 수 있는 사고를 미연에 방지하고, 직원들이 기본적으로 보안사항을 철저히 준수하도록 하는 홍보 효과가 크다. 단순한 주입식 교육보다는 상황 설정을 통해 해야 될 것과 해서는 안될 것에 대해 프로세스에 의해 이를 인지하도록 하는 것이다.

내부자 정부 유출 전에 한발짝 앞선 사전 방어 개념으로, 앞으로 빅데이터 분석을 통해 보다 체계화되고 자연스러운 보안 프로세스가 정립될 수 있을 것으로 기대되는 부분이다. 하나금융투자 보안부서가 지금까지 보안체계 관리, 통합관점 가시성 확보, 퇴직자관리 외에 지속적으로 신경 써야할 부분은 통합관제센터이다.

윤영준 상무는 “알려지지 않은 위협을 방어하기 위해서는 통합관제가 중요한 요소다. 다행히 하나그룹 계열사인 하나INS에서 이를 통합적으로 다뤄주고 있으며, 표준화 작업 및 공동 프로젝트도 진행한다. 그룹의 시너지 효과 면에서 관제 서비스는 각 계열사의 경험을 모아 서로 공유할 수 있다는 점에서 가치가 크다”고 강조했다.

이와 함께 FDS(사기방지시스템)도 관제의 주요 요소로 떠오르고 있다. 현재는 룰 기반의 탐지가 이뤄지고 있지만, 앞으로는 인공지능 개념의 진화된 분석을 통해 오탐을 줄이는 과정이 진행될 것으로 보인다. 하나금융투자는 이번에 차세대 프로젝트를 진행하면서 보안요소를 체계화하고, 새롭게 정비하는 계기를 마련했지만, 오탐(잘못된 탐지)외에도 과탐(지나친 탐지)이 보안에 있어서 여전히 극복해야할 숙제로 남아있다고 토로했다.

오탐과 과탐은 기업의 특성과 고객의 성향을 반영하고, 많은 경험과 시행착오를 통해 극복해야 할 부분이지만, 이런 갭을 줄이기 위한 노력이 필요하다는 입장이다. 패턴들이 워낙 다양하기 때문에 정교하게 이를 걸러내고 찾아내는 데는 아직 기술적인 어려움이 많다. 결국 중요한 사안에 대한 확인과 결정은 사람이 해야 하는 부분이지만, 최근에 대두되고 있는 인공지능과 같은 새로운 분석 기법을 통해 서서히 극복할 수 있을 것으로 기대하고 있다.

보안은 곧 ‘국방’이란 인식 커야

윤 상무는 이번 보안 프로세스를 새롭게 세우는데 회사의 전폭적인 지원이 있었음을 강조했다. ‘보안은 곧 국방’이라는 인식이 사내에 만연해 있고 임원진에서도 이를 인식하고 있다는 것. 사소한 것에서 뚫리면 파급효과가 크다는 점을 알고 있기 때문에 국방과 같이 작은 실수하나라도 허용해서는 안된다는 입장이다.

따라서 회사 차원에서 보안과 관련된 사항은 전폭적인 지원과 투자를 아끼지 않고 있다. 모든 금융 기업들이 인지하고 있는 부분이지만, 기업 전산환경이 물리적 서버 환경에서 클라우드 서비스, 사물인터넷, 핀테크와 같은 새로운 환경으로 진화하면서 기업 업무 환경과 데이터센터는 더욱 복잡해지고 있다. 안정성을 확보하기 위해서는 각 요소 요소에 보안 관리가 철저하게 이뤄져야 한다.

결국 고객의 자산을 다루는 금융기업 입장에서는 ‘보안’이 비즈니스를 견인하는 ‘주요 자산’이 되고 있는 것이다. 하나금융투자 보안부서는 이번에 새롭게 정비한 보안 프로세스를 기반으로 지속적인 프로세스 고도화를 통해 신뢰받는 기업으로 성장하는데 주력할 계획이다.

방창완 편집국장 기자의 전체기사 보기