[디지털데일리 이상일기자] BNK부산은행이 금융업계의 보안 환경 변화에 적극 대응하고자 ‘제로트러스트(Zero Trust)’ 모델을 도입, 사이버 보안 체계를 강화하고 있다.

20일 명동 전국은행연합회 은행회관 국제회의실에서 개최된 '디지털 신뢰 새 패러다임, 제로트러스트 적용 전략 콘퍼런스'에서 부산은행 정보보호부 류창열 상무는 “디지털 금융 시대에서 고객의 신뢰를 확보하기 위해서는 강력한 보안 체계를 구축하는 것이 무엇보다 중요하다. 제로트러스트 모델을 도입함으로써 기존의 경계 기반 보안 방식에서 벗어나, 보다 정교하고 체계적인 보안 환경을 조성해 부산은행은 고객들에게 보다 안전한 금융 서비스를 제공하고, 디지털 금융 혁신을 지속적으로 이어갈 것”이라고 말했다.

류 상무에 따르면 부산은행은 제로트러스트에 대해 학습하고 있는 과정으로 향후 차세대시스템 구축 시 자율보안체계 아키텍처에 제로 트러스트를 녹여낼 예정이다.

제로트러스트 모델은 기존의 보안 개념인 ‘기본 신뢰’에서 벗어나 모든 사용자와 기기, 네트워크 트래픽을 지속적으로 검증하고 모니터링하는 보안 전략을 의미한다. 이는 금융 서비스가 디지털 중심으로 변화하면서 더욱 정교해지는 사이버 공격에 대응하기 위한 필수적인 접근 방식으로 자리 잡고 있다. 부산은행은 이러한 변화 속에서 제로트러스트를 기반으로 한 보안 투자 전략을 수립하고 있으며, 이를 통해 금융 소비자의 신뢰를 확보하고 보안 리스크를 최소화하고자 한다는 계획이다.

금융 산업에서 보안 위협은 점점 더 정교해지고 있으며, 최근 랜섬웨어 공격, 피싱 및 공급망 공격 등의 위험이 증가하고 있다. 이에 따라 전통적인 보안 방식인 ‘경계 기반 보안’ 모델은 한계를 드러내고 있으며, 네트워크 내부의 사용자나 시스템을 무조건 신뢰하는 방식은 공격자에게 취약점을 제공하는 결과를 초래한다.

이에 따라 부산은행은 내부 및 외부 네트워크에 대한 신뢰를 전제로 하지 않는 제로트러스트 접근 방식을 도입해 보안성을 한층 강화한다는 계획이다.

부산은행의 제로트러스트 보안 전략은 크게 네 가지 축을 중심으로 전개된다. 첫째, ‘사용자 신원 및 접근 관리(IAM, Identity and Access Management)’ 강화를 통해 모든 사용자와 디바이스에 대한 지속적인 검증 체계를 구축한다. 기존의 단순한 로그인 방식에서 벗어나 다중 인증(Multi-Factor Authentication, MFA)과 생체 인증 등 추가적인 인증 방식을 적용하여 불법적인 접근을 방지한다. 이를 통해 해킹 시도가 증가하는 금융 환경에서 사용자 계정을 안전하게 보호할 수 있다.

류 상무는 "내부인가자가 접속한 이후에 다소 넓은 권한으로 시스템에 폭넓게 접근이 가능한데 기존 접근통제 외에 보안 접근통제를 강화하고자 한다. 세부적 보안등급 및 향후 국정원 다중보안체계 분류기준에 따라 내부 중요정보 접근 통제를 꾀하고 있다."고 설명했다.

둘째, ‘네트워크 보안 및 마이크로 세그멘테이션(Micro-Segmentation)’을 강화하여 내부 네트워크 내에서도 세분화된 보안 정책을 적용한다. 전통적인 네트워크 보안은 외부 침입을 막는 데 중점을 두었으나, 내부에서 발생하는 보안 위협에도 효과적으로 대응하기 위해서는 네트워크를 작은 구역으로 나누어 각 구역 간의 접근을 제한하는 마이크로 세그멘테이션 전략이 필요하다. 부산은행은 이를 통해 내부 시스템 간의 불필요한 연결을 차단하고, 이상 징후가 감지될 경우 즉각적인 차단 조치를 시행할 수 있도록 하고 있다.

셋째, ‘행동 기반 위협 탐지 및 대응(XDR, Extended Detection and Response)’을 강화하여 사이버 공격의 징후를 실시간으로 감지하고 대응하는 체계를 구축하고 있다. 기존의 정적 보안 솔루션이 아닌 AI 기반의 이상 탐지 시스템을 도입해 사용자 행태 분석(UBA, User Behavior Analytics)과 머신러닝을 활용한 위협 탐지를 강화하고 있다. 이를 통해 내부 시스템에서 발생하는 이상 행동을 조기에 감지하고, 대응 속도를 단축하여 피해를 최소화할 수 있다.

클라우드 보안도 강화한다. 류 상무는 "내부 데이터를 클라우드에 저장하는 것을 막는 것이 보안상 제일 좋겠지만 실효성 측면에서 보안 위협을 사전 탐지, 대응하는 방안을 모색하고 있다. 협업에서 불가피한 자료 공유의 경우 정보유출과 보안 사고가 날 수 있는 만큼 가시성과 통제정책으로 클라우드 데이터 보호 등에 나설 계획"이라고 강조했다.

넷째, ‘위험 관리 체계(RMF, Risk Management Framework)’를 도입해 거버넌스를 강화하고 보안 가시성을 높이고 있다. 기업이 보안 투자 전략을 효과적으로 운영하려면, 위험 요소를 정확하게 분석하고 체계적인 대응 방안을 수립하는 것이 필수적이다. 부산은행은 이를 위해 IT 자산과 리스크를 식별하고, 각종 위협을 예측하여 지표화하는 RMF 체계를 도입하였다. 이를 통해 조직 내부의 보안 수준을 지속적으로 점검하고, 선제적인 대응책을 마련할 수 있도록 하고 있다.

부산은행은 제로트러스트 전략을 실현하기 위해 다양한 보안 솔루션과 협업을 진행하고 있다. 클라우드 보안 강화를 위해 Secure Access Service Edge(SASE) 솔루션을 도입하고, 데이터 보호를 위해 데이터 유출 방지(DLP, Data Loss Prevention) 기술을 활용하고 있다. 또한, 엔드포인트 보안을 위해 EDR(Endpoint Detection and Response) 솔루션을 도입하여 각종 단말기의 보안성을 강화하고 있으며, 이메일 및 웹 보안을 위한 차세대 보안 게이트웨이를 도입하여 피싱 및 악성코드 공격을 차단하고 있다.

특히 금융업의 특성상 규제 준수가 중요한 요소인 만큼, 부산은행은 국내 및 국제 보안 규정을 충족할 수 있도록 보안 시스템을 지속적으로 업데이트하고 있다. 금융감독원의 디지털 금융 감독 방향에 맞춰 금융권에서 요구하는 보안 기준을 준수하고 있으며, 개인정보보호법 및 금융보안원의 지침에 따라 데이터를 보호하는 조치를 강화하고 있다. 이를 통해 고객의 금융 데이터를 안전하게 보호하고, 신뢰할 수 있는 금융 서비스를 제공하는 데 집중하고 있다.

제로트러스트 모델 도입은 단순한 보안 기술 도입을 넘어, 조직의 보안 문화를 전환하는 과정이기도 하다. 부산은행은 임직원들의 보안 인식을 제고하기 위해 정기적인 보안 교육과 모의 해킹 훈련을 시행하고 있으며, 보안 사고 발생 시 신속하게 대응할 수 있는 체계를 마련하고 있다. 특히, 금융권에서는 내부자의 보안 위협도 중요한 요소로 작용하는 만큼, 내부 사용자들의 보안 정책 준수를 철저히 관리하고 있다는 설명이다.

한편 부산은행의 제로트러스트 보안 전략은 단기적인 보안 강화뿐만 아니라 장기적으로 지속 가능한 보안 환경을 조성하는 것을 목표로 한다. 이를 통해 고객들에게 안전하고 신뢰할 수 있는 금융 서비스를 제공하고, 금융권에서의 보안 리더십을 확립하는 데 주력한다는 계획이다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지