금융보안원, 클라우드 사업자 기술 점검 대상 확대

금보원은 서면 평가(증적, 실사, 시연 등)의 한계를 넘기 위해 2023년부터 클라우드 사업자의 가상자원 관리시스템을 대상으로 보안 취약점을 점검해 왔다. 기술분야 평가로 불리는 이 점검은 포털과 콘솔 중심으로 이뤄졌다.

고도화 배경과 향후 계획

배경에는 외부 노출 자산의 취약점을 악용하는 사이버공격의 지능화가 있다. 금융회사의 클라우드 의존도가 높아지면서 사업자의 보안 취약점이 다수 금융회사의 연쇄 피해로 이어질 가능성도 우려된다. 금보원은 사업자의 잠재 취약점을 사전에 식별해 조치하도록 한다는 취지다.

금보원은 올해 일부 클라우드 사업자를 대상으로 시범평가를 진행해, 개인정보 유출로 이어질 수 있는 보안 취약점을 사전에 탐지하며 점검 방법론의 유효성을 확인했다.

내년 1분기 마련할 '디지털금융안전법' 제정안에는 보안 규율 적용 대상을 클라우드 사업자 등으로 넓히는 방안이 담긴다. CSP 안전성 평가는 금보원이 금융회사를 대신해 클라우드 사업자의 보안·운영체계를 점검하고, 그 결과를 금융권이 공동 활용하는 구조다.