올해 금융보안원의 3가지 키워드, 전문성·융합·신뢰
‘핀테크·자율보안’이 금융보안에 있어 가장 중요한 성공요인

[보안뉴스 김태형] 지난해 4월 금융보안연구원과 금융결제원·코스콤의 ISAC(정보공유분석센터) 조직이 결합되어 공식 출범한 금융보안원은 지난해 12월 24일 대의원회를 개최하고 허창언 前 금융감독원 부원장보를 2대 원장으로 선임했다. 앞으로 3년의 임기동안 금융보안원을 이끌어 갈 허창언 신임 원장은 앞으로 전문성 강화와 직원간의 융합, 그리고 신뢰받는 조직을 만들어 나가는데 집중할 계획이다. 이에 본지는 허창언 신임 금융보안원 원장을 만나 올해 중점 추진계획에 대해 들어봤다.


▲ 허창언 금융보안원 신임 원장

Q. 금융보안원 제2대 원장으로 취임하신 것을 축하드립니다. 취임소감부터 한 말씀 해주신다면?
금융보안원장 공모를 직접 접수하면서 밖에서 금융보안원이 어떤 곳인지 들여다보고 있었습니다. 그리고 막상 이렇게 원장에 임명되고 취임해서 업무를 파악하다 보니, 종합적인 금융보안 서비스를 제공해 금융이용자의 편의 증진과 금융산업 발전에 기여하는 것을 목적으로 설립된 금융보안원의 수장으로서 막중한 책임감을 느끼고 있습니다. 특히, 국민들에게 봉사를 해야 한다는 책임감을 갖고 맡은 바 소임을 충실히 이행하기 위해 최선을 다할 생각입니다.

Q. 앞으로 금융보안원을 어떻게 이끌어 나갈 계획이신가요?
금융보안원의 발전을 위해 앞으로 중점을 두고 있는 부분은 ‘전문성·융합·신뢰’입니다. 우선 3개 기관이 통합한 금융보안원 임직원 모두가 외형적인 것뿐만 아니라, 정서적으로도 융합된 하나의 조직이 될 수 있도록 만들어 나갈 겁니다. 이를 위해 사내 워크숍이나 체육대회, 동호회 활동 등을 적극 지원해서 조직원 간의 소통을 통해 서로를 이해하고 동질성과 일체감을 공유할 수 있도록 다양한 프로그램을 마련할 예정입니다. 또한, 177명의 모든 임직원들이 업무에서도 서로 잘 융합되도록 효율적으로 업무배치를 하고 공정하고 투명한 조직관리와 인사제도를 통해 불필요한 오해와 불신을 최소화할 수 있도록 노력해 나갈 계획입니다.

무엇보다 조직원 개개인이 맡고 있는 분야에 대해서는 최고의 전문가가 될 수 있도록 전문역량을 강화해 나갈 생각입니다. 금융보안원은 금융보안 정책의 싱크탱크(Think Tank)이자 정책 시행 조력자 역할을 수행하고, 고도의 전문성이 요구되는 금융정보공유분석센터(금융ISAC), 침해사고대응기관 및 금융보안 전문교육기관으로서 업무를 수행하고 있습니다. 이러한 금융보안원 핵심 경쟁력은 고도의 전문성을 가진 전문가들이라 할 수 있고, 전문성을 상실하게 되면 금융보안원은 더 이상 존재가치가 없을 정도로 전문역량 확보가 중요하다고 봅니다. 이를 위해 모든 직원들이 전문가로 성장·발전할 수 있도록 적극 지원하고 직원들이 가진 전문성을 유지·발전시켜 나갈 수 있도록 조직·인사제도를 운영해서 조직의 전문역량을 강화해 나갈 겁입니다. 자체 연수 프로그램 등을 강화해 나가는 것도 주요 계획중 하나입니다.

아울러 금융보안원은 금융회사에게 종합적인 금융보안서비스를 제공하는 대신 금융회사가 납부하는 회비로 운영되고 있습니다. 이에 금융보안원이 금융회사 등 시장으로부터의 신뢰성을 확보하지 못한다면 기관의 존립까지도 위협을 받을 수도 있다고 봅니다. 이를 위해서 금융회사 등 시장의 요구와 필요를 신속하게 파악해야 하고, 시장 상황에 선제적으로 대응해야 합니다. 특히, 대형 금융회사와 중소형 금융회사에 맞춤형으로 보안 서비스를 제공해야 하고, 금융보안원 전체 인력이 금융보안 서비스 인력풀로 가동할 수 있도록 하는 것도 중요합니다. 또한, 금융회사를 비롯해 금융당국, 학계·업계·언론계 등과의 활발한 소통을 통해 금융보안원에 대한 기관 인지도 제고 및 존재 필요성에 대한 인식이 확대될 수 있도록 적극적이고 지속적인 노력인 펼쳐나갈 계획입니다.

Q. 지난해 4월 출범한 금융보안원은 지난해 나름대로의 성과를 거두었다고 보는데요. 출범부터 지금까지의 성과를 돌아본다면?
금융보안원은 출범한 지 9개월이 채 되지 않은 짧은 기간임에도 불구하고 금융보안 전문기관으로서 안착할 수 있는 기틀과 토대가 마련되었다는 평가를 듣고 있습니다. 특히, 김영린 초대 원장님을 비롯한 임직원들의 노력을 통해 지난해 동안 참 많은 일들을 이루어냈다고 봅니다.

대표적으로 빅데이터 분석 기법을 활용한 차세대 통합보안관제 시스템과 행위 분석 기법을 적용한 악성코드 분석 시스템을 구축해 금융권 침해행위 탐지·분석·대응체계를 한층 더 강화했으며, 전자금융기반시설에 대한 취약점 분석·평가 및 금융당국의 점검·검사 지원을 통해 금융회사의 침해사고 예방 역량을 제고시키는데 일조했습니다. 또한, 지 해 7월 은행, 증권사를 대상으로 발생한 대규모 디도스 공격을 ‘디도스 공격 비상대응센터’를 통해 성공적으로 방어했습니다.

이와 함께 이상금융거래정보 공유시스템을 구축하고 금융분야 정보보호관리체계 인증, 금융보안 적합성 시험, 전자금융서비스 보안성 검토 등을 수행해 금융회사의 자율보안체계 확립을 지원했고, 핀테크기업 대상 보안컨설팅 제공, 핀테크 기술의 보안수준 진단, 비대면 실명확인 시스템 보안성 테스트 등을 통해 국가 신성장산업인 핀테크산업 육성 및 활성화 기반을 조성했습니다. 이 외에도 각종 금융보안 관련 가이드 수립, 금융소비자 보호 정책 및 금융보안 정책 지원, 금융회사의 금융보안 인식 제고 위한 전문교육 등을 진행했습니다.

Q. 지난해 금융보안 분야 최대 이슈는 무엇이었습니까? 그리고 올해 금융보안 분야 이슈를 예측해 주신다면?
지난해 보안 분야 최대 이슈는 ‘핀테크와 자율규제’였다고 생각합니다. 핀테크가 확산되면서 규제가 완화됐고, 이로 인해 보안성 확보와 보안 리스크 관리 강화의 필요성이 대두되고 있습니다. 이에 금융시장의 신뢰성 확보와 금융소비자 보호를 위한 핀테크 보안이 새로운 선결과제이자 핵심 이슈로 떠올랐습니다. 이러한 핀테크 시대에서는 금융보안 패러다임이 정부주도의 ‘사전 절차적 규제’에서 민간 중심의 ‘자율과 사후 점검·책임 강화‘로 변화되면서 전사적 정보보호 거버넌스 차원에서 자율보안체계 확립이 중요한 이슈로 대두되고 있습니다. 앞으로도 핀테크와 자율보안은 금융보안 분야에서 중요한 성공요인이 될 것입니다.

올해 금융보안 이슈는 최근 금융보안원에서 발표한 ‘금융 IT·보안 10대 이슈’ 전망 발표와 같이 핀테크·블록체인·클라우드와 같은 신기술 활용과 빅데이터, 비대면 실명확인 서비스 등의 새로운 금융서비스 창출을 위한 금융인프라 보안성 확보, 그리고 법·제도 정비, 바이오인증 등 새로운 보안기술 도입을 위한 보안성 검증 등이 주요 이슈가 될 것으로 보고 있습니다. 이 외에 올해 랜섬웨어, 디도스 공격 등의 보안위협이 증가할 것으로 예측하고 있는 바 이에 대응하기 위해서는 금융보안원과 같은 금융보안 전문기관과 공동 방어체계 구축이 필요할 것으로 전망됩니다. 이를 위해서는 금융 분야에서의 자율보안체계 확립을 위한 규제완화 정책을 유지해야 하고, 금융회사의 경우는 금융보안의 역할 확대와 책임 강화는 물론 전사적 정보보호 거버넌스 활동이 확립되어야 할 것으로 봅니다.

Q.수준 높은 금융보안을 위해서 가장 중요한 것은 무엇이라고 생각하십니까?
금융소비자나 전자금융거래 이용자가 갖는 막연한 불안감을 해소시키고, 금융보안의 한 주체로서 스스로 자가 방어(Self Defense) 능력을 가질 수 있도록 하는 금융보안 교육과 금융보안 문화 확산이 가장 중요하다고 생각합니다. 서비스 보안성과 사용자 편의성은 시소와 같아서 한쪽이 상승하면 나머지 한쪽은 자연히 하락하는 트레이드 오프(Trade off) 관계를 가지기 때문에 최적의 균형점이 어디인지를 찾고 그 균형점을 유지하는 것이 무척 중요합니다.

이러한 측면에서 사용자에게 가장 영향을 줄 수 있는 기술은 사용자 인증기술이라고 생각합니다. 금융거래는 사용자 인증으로부터 시작된다는 점에서 보안성 확보가 무엇보다도 중요하기 때문이죠. 이를 위해서는 사용자 인증기술에 대한 체계적이고 통합적인 보안성 검증체계를 구축·운영할 필요가 있고, 안전하고 신뢰할 수 있는 사용자 인증체계의 구축·운영도 필수적이라 보고 있습니다.

미국의 보안전문가인 브루스 슈나이어(Bruce Schneier)는 “보안은 사슬이다. 사슬의 가장 약한 고리만큼 안전하다(Security is a chain. It’s only as secure as the weakest link)”라고 말했습니다. 국가나 조직의 보안수준은 가장 잘 방어되고 있는 부분이 아니라 가장 취약한 부분이라는 것입니다. 금융소비자와 전자금융거래 이용자가 안전하게 금융회사나 금융서비스를 이용하기 위해서는 가장 불안하고 취약한 부분이 어디인지를 선제적으로 파악해서 사전에 예방하고 신속하게 대응해 피해 확산을 방지하는 것이 최우선과제가 되어야 합니다.

Q. 금융회사의 보안수준 강화를 위해서 꼭 필요한 것은 무엇이며, 이를 위해 금융보안원은 어떤 역할을 담당할 계획이신지요?
보안은 단순히 제품이나 기술만으로 해결될 수 없습니다. 체계적인 보안전략과 계획 수립, 전문조직과 인력 운영, 지속적인 훈련과 점검·평가, 적정한 예산 확보와 투자 등 일련의 과정을 통해 수행되어야 합니다. 또 보안이 강화될수록 이용자에게는 불편할 수 밖에 없기 때문에 양쪽의 균형점을 찾는 것이 매우 중요합니다. 금융회사가 금융보안 비용을 투자라고 생각하고 경영층뿐만 아니라 전사적으로 보안인식 제고와 보안문화를 확산시키는 것이 꼭 필요합니다. 금융보안원은 이를 위한 기술·정책·분석·사고대응·교육 등의 모든 서비스를 제공할 겁니다.

Q. 일각에서는 신임 금융보안원 원장은 보안전문가가 맡아야 한다는 의견도 있었던 걸로 알고 있습니다. 이에 대한 견해를 말씀하신다면?
금융보안원을 총괄하는 CEO가 갖춰야 할 부분에 대해서는 여러 가지 견해가 있을 수 있습니다. 모든 덕목을 최고의 수준으로 갖춘 사람이 있다면 가장 좋을 거라 생각합니다. 금융보안원이라서 무엇보다 보안기술 분야를 강조하는 부분도 있습니다. 그렇지만 금융보안원 원장은 보안기술과 더불어 금융에 대한 지식과 경험도 매우 중요하다고 생각합니다. 또한, 조직을 원활하게 경영하는 능력과 대외교섭력이 무엇보다 요구됩니다.

저는 한국은행 은행감독원과 금융감독원에서 약 30여 년을 금융분야 전반에서 많은 경험을 쌓아왔습니다. 이로 인해 금융 분야 어느 부분에서 보안이 필요한지 등을 이해하고 추진할 수 있다고 생각합니다. 특히, 금감원의 각 감독국에서는 금융회사의 설립 등, 인허가와 관련해서 철저히 심사하는 업무를 맡는데, 이 중에서 ‘인력·물적 시설의 적정성’을 심사할 때는 직접 현장에 나가서 확인을 하고 전산장비와 시스템이 고객정보보호에 문제가 없는지를 꼼꼼히 살펴보고 따집니다. 이러한 업무를 6년이 넘는 기간 동안 수행했습니다.

또한 금감원 각 검사국에서는 금융회사의 건전성과 금융소비자 보호에 문제가 없는지 등을 정기·수시로 검사하는데 이때 대부분의 금융업무가 전산으로 이루어지는 상황에서 고객정보보호 시스템이 잘 갖추어져 있고 제대로 작동하고 있는지를 점검합니다. 이러한 업무도 3년 넘게 수행하면서 정보보호 관련 업무를 담당했습니다. 아울러 금감원 법무실장까지 역임했기 때문에 관계 법규 관련 업무에서도 많은 경험을 쌓은 바 있습니다. 아직 부족한 부분도 있겠지만, 앞으로 금융보안 분야 발전을 위해 가일층 노력할 테니 많이 격려해 주시고 지켜봐 주셨으면 합니다.

올해 금연을 목표로 노력하고 있다는 허창언 원장. 가장 기억에 남는 일은 지난 2009년부터 2010년까지 금감원 공보실 국장 근무 당시 맞았던 금융위기를 잘 넘겼던 일이라고 한다. 또한, 지난 1998년 IMF 당시 기업구조조정 파트에서 밤을 새가면서 업무를 했던 것도 기억에 새롭다는 그다. “올해가 그 옛날 열정적으로 업무를 수행했던 만큼 기억에 남는 한해가 됐으면 한다”는 허 신임 원장의 바람이 이루어지길 기대해본다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>