금융보안 ‘체크리스트 시대’ 끝낸다… 수준진단 프레임워크의 의미

• ● 금융보안원이 금융회사 보안 수준을 정밀 진단할 수 있도록 개발·배포
• ▶ 글로벌 금융보안 표준 진단 도구인 ‘CRI Profile’ 등을 참고해 설계
• ▪ 약 5개월간 20개 금융회사와 공동 작업·시범 테스트 거쳐 완성
• ● 총 7개 분야, 45개 항목, 127개 세부 원칙으로 구성

이번 프레임워크는 단순한 기술 보안 점검이 아니다. 조직 운영부터 사고 이후 복구까지 전 주기를 포괄한다.

• ● 거버넌스
• ▶ 식별
• ▪ 보호
• ● 탐지
• ▶ 대응
• ▪ 복구
• ● 공급망

특히 공급망 보안이 독립된 영역으로 포함된 점은 최근 금융권 사고 흐름을 반영한 대목이다. 외주·협력사·솔루션 업체를 통한 침해 가능성까지 함께 점검하도록 설계됐다.

프레임워크는 금융회사의 보안 수준을 단계별로 평가한다. 평균적인 보안 체계를 갖춘 경우 2단계인 ‘기반’ 등급을 받도록 설계됐다.

이후 보안 체계를 개선하면 ‘발전’, ‘고도화’ 단계로 상향된다. 이는 “통과/미통과” 중심의 평가가 아니라, 금융회사가 스스로 더 높은 보안 수준을 목표로 개선하도록 유도하는 구조다.

기존 보안 진단은 대부분 예·아니오 방식의 체크리스트에 머물렀다. 규정을 지켰는지 여부는 알 수 있지만, 실제 보안 역량이 어느 수준인지, 무엇을 우선 개선해야 하는지는 파악하기 어려웠다.

이번 프레임워크는 현재 상태(As-is)를 진단한 뒤 목표 수준(To-be)을 설정하고, 그 사이의 간극을 메우기 위한 개선 방향을 제시한다. 보안이 ‘점검 이벤트’가 아니라 ‘지속적인 관리 과정’이 되도록 설계된 것이다.

금융보안원은 정책·기술 분야 전문가 7명으로 구성된 ‘자율보안연구팀’을 신설하고, 다음 달부터 현장 방문 진단 서비스를 시작한다.

올해는 금융보안 수준 진단 서비스의 원년으로, 실제 현장 적용과 모범사례 축적을 통해 프레임워크를 고도화하는 데 집중한다. 내년부터는 금융회사가 외부 도움 없이도 자체 진단과 개선을 할 수 있도록 자문·검증·교육 등 지원 체계를 확대할 계획이다.

망분리 규제 완화, AI 전환 가속 등으로 금융 IT 환경은 빠르게 변하고 있다. 이런 상황에서 보안을 규제로만 관리하는 방식은 한계가 분명하다.

이번 금융보안 수준진단 프레임워크는 금융회사가 스스로 보안을 계획하고 실행하는 ‘자율보안’ 체계로 가기 위한 첫 번째 공통 언어이자 기준으로 볼 수 있다.