해킹 책임, 이제 사장 몫… 중소기업 3단계 점검

'해킹당했느냐'가 아니라 '관리했느냐'

올가을 금융권은 연쇄 해킹에 흔들렸다. 금융위원회는 10월 14일 침해사고가 확인된 금융사가 16곳, 유출된 개인정보가 약 10만 건이라고 밝혔다. 신한·KB국민·하나은행에서 시작된 유출은 보험사와 증권사, 가상자산 거래소로 번졌다.

눈여겨볼 대목은 당국의 방향이다. 국회에 계류 중인 전자금융거래법 개정안은 대표이사를 전자금융 안전성 확보의 '최종 책임자'로 못 박고, 중대한 침해사고에는 총매출의 3% 이내로 과징금을 매기는 내용을 담고 있다. 이찬진 금융감독원장은 10월 19일 국정감사에서 이번 사태를 사이버보안 사건에서 CEO 책임이 처음 다뤄질 사안으로 봤다. 다만 전제가 있다. 제재의 기준은 '해킹을 당했느냐'가 아니라 '관리 의무를 다했느냐'라는 점이다.

큰 회사 규제가 작은 회사에 주는 신호

panumas nikhomkhai

이 규제는 금융사를 겨냥한다. 하지만 '관리 의무를 다했는지'를 따진다는 원칙은 회사 규모를 가리지 않는다. 사고가 나면 "우리는 최소한의 조치를 해 뒀는가"를 증명해야 하는 쪽은 결국 경영진이다.

이번 사고에서 전문가들이 지목한 약한 고리는 '업무지원망'이었다. 핵심망보다 보안 수준이 낮아 사각지대가 됐다는 것이다. 보안 전담 인력이 없는 중소기업의 환경은 사실상 전부가 이 업무지원망에 가깝다. 그만큼 먼저, 적은 비용으로 손댈 곳도 분명하다. 순서는 계정, 권한, 백업이다.

1단계: 계정부터 센다

가장 흔한 침투 경로는 사람의 계정이다. 먼저 쓰고 있는 계정을 전부 목록으로 만든다. 그다음 퇴사자 계정과 1년 이상 쓰지 않은 휴면 계정을 삭제한다. 비밀번호를 돌려 쓰는 공용 계정은 없애고, 각 직원에게 개별 계정을 준다.

여기서 가장 효과가 큰 조치는 다단계 인증(MFA)이다. 비밀번호가 새어 나가도 추가 인증이 막아 준다. 이메일, 그룹웨어, 클라우드 등 외부에서 접속하는 서비스부터 적용한다.

2단계: 권한을 좁힌다

계정을 정리했다면 각 계정이 '무엇까지 할 수 있는지'를 본다. 원칙은 최소 권한이다. 업무에 필요한 범위만 열어 둔다. 특히 관리자(admin) 권한은 몇 명이 쥐고 있는지 확인하고, 관리자 작업용 계정과 평소 쓰는 계정을 분리한다. 외부 협력사나 외주 개발자에게 내준 접근 권한이 지금도 유효한지, 끝난 계약의 접근은 닫혔는지도 함께 점검한다.

3단계: 백업은 '복구'까지 확인한다

랜섬웨어는 백업이 없으면 협상 외에 길이 없게 만든다. 데이터는 사본 3개, 서로 다른 저장 매체 2곳, 그중 1곳은 네트워크와 분리된 오프라인에 두는 '3-2-1' 방식이 기본이다.

중요한 건 백업을 '해 두는' 것이 아니라 '복구가 되는지' 확인하는 것이다. 정기적으로 실제 복구를 시험해 보지 않은 백업은 있으나 마나다. 백업 파일 자체도 암호화해 둔다.

AI 도구, 여기까지는 돕고 여기부터는 못 한다

보안 인력이 없는 회사라면 AI 도구가 실무를 거들 수 있다. 접근 로그를 붙여 넣어 이상 징후를 1차로 추려 달라고 하거나, 알기 어려운 설정 파일의 의미를 설명받거나, 위 점검 항목을 우리 회사에 맞는 체크리스트로 다듬는 식이다. 사람이 처음부터 공부할 시간을 줄여 준다.

한계는 분명하다. AI는 그럴듯하지만 틀린 답을 내놓을 수 있어, 조언을 그대로 설정에 반영하기 전에 검증이 필요하다. 또 외부 AI 서비스에 실제 로그, 계정 정보, 고객 개인정보를 그대로 입력하는 것은 그 자체가 유출이다. 민감한 값은 가리고 넣어야 한다. AI는 1차 분류와 학습을 돕는 보조 도구일 뿐, 실시간 관제나 전문가의 판단을 대신하지 못한다.

결국 당국이 말한 '관리 의무'의 주체는 사람이다. 계정과 권한, 백업을 점검한 기록을 남겨 두는 것. 그것이 사고가 났을 때 회사가 내밀 수 있는 최소한의 방어선이다.

출처

1. [금융권 해킹] ④ 과징금 만으로 해킹 못 막는다…실전 점검·피해구제 강화해야
2. 금융위, 금융권 침해사고 방지 위한 금융보안 관리체계 강화 추진