기업은행, 취약점 ‘수기 관리’ 없애고 점검 확대⋯ 해킹 대응 강화

서버·DB 점검, 연 1회 정기 점검서 분기 1회로 확대
자산 목록·점검 대상 자동 비교해 취약점 관리 누락 방지
“AI 기반 신종 취약점 탐지·분석 및 대응 역량 강화”

(AI 생성)

IBK기업은행이 전행 정보시스템의 보안 취약점 점검 결과와 조치 이력을 수기로 관리해 온 방식을 통합 시스템으로 바꾼다. 최근 은행권을 겨냥한 해킹과 고객정보 유출이 잇따르는 상황에서 서버·데이터베이스(DB) 점검을 늘리고, 미조치 취약점을 끝까지 관리하는 체계로 전환하겠다는 취지다.

29일 금융권에 따르면 기업은행은 ‘보안 취약점 통합관리시스템’ 구축 사업을 진행 중이다. 현재 사업자를 선정해 계약 체결 절차를 밟고 있으며, 이달 중 본격 착수해 내년 상반기 구축을 마친다는 목표다.

기업은행은 그동안 서버·DB·네트워크 등 인프라와 홈페이지·앱, 소스코드·오픈소스를 유형별로 점검해 왔다. 다만 점검 결과는 전자결재로 통보하고, 점검 이력과 조치 현황은 수기로 관리했다. 점검 대상 정보시스템이 늘면서 수기 작업 부담이 커졌고 조치 예정일이 지난 미조치 취약점의 사후 관리도 어려웠다.

새 시스템은 자산관리시스템(EAMS) 정보와 실제 취약점 점검 대상을 자동 비교해 수기로 확인하던 점검 대상 식별 과정을 자동화한다. 자산 목록과 점검 대상을 비교해 점검에서 빠진 자산을 찾아내고 누락을 막는 것이 핵심이다.

서버·DB·네트워크 등 인프라 영역과 홈페이지·앱, 소스코드·오픈소스의 점검 결과도 한곳에서 관리한다. 보안 담당자와 시스템 운영·조치 담당자를 연결해 취약점별 담당자와 조치 기한을 지정하고, 재점검 결과와 반복 취약점까지 추적하도록 설계했다.

서버·DB 취약점 점검은 기존 ‘신청 시 또는 연 1회 정기 점검’ 방식에서 인프라점검시스템 응용프로그램인터페이스(API)를 활용한 분기 1회 점검으로 바뀐다. 기업은행은 향후 점검 주기도 점진적으로 단축한다는 방침이다. 일회성 점검 결과를 관리하는 데서 나아가 취약점 발견부터 조치·재점검까지 전 과정을 상시 관리하겠다는 의미다.

최근 해킹 사태 이후 외부 접점 점검도 병행하고 있다. 기업은행은 외부 인터넷을 통해 접근 가능한 서비스를 대상으로 전문업체 모의해킹 등 긴급 보안점검을 실시하고 있다. 발견된 취약점은 조치 지연이나 누락이 없도록 관리하고 검증한다는 설명이다.

기업은행을 향한 해킹 시도 역시 적지 않다. 국회 재정경제기획위원회 소속 강민국 국민의힘 의원이 한국은행과 기업·산업·수출입은행에서 받은 자료에 따르면 2020년부터 올해 9월까지 4개 기관에 대한 해킹 시도는 누적 498만6964건이었다. 이 가운데 기업은행을 겨냥한 시도는 약 458만4000건으로 91.9%를 차지했다.

기업은행 관계자는 “다른 국책은행과 달리 시중은행 수준의 개인·기업 고객 대상 인터넷·모바일 서비스를 제공하고 있어 상대적으로 많은 해킹 시도가 탐지되고 있다”고 말했다.

기업은행은 이번 시스템 구축으로 취약점 관리체계 전반이 고도화될 것으로 기대하고 있다. 기업은행 관계자는 “취약점 관리체계 전반을 자동화하고 효율화함으로써 AI를 활용한 신종 취약점 탐지·분석 업무와 대응 역량을 더욱 강화할 수 있을 것”이라고 강조했다.