2016 년도금융 IT 보안 10 대이슈전망보고서 ( 보안연구부보안정책팀, 2016.1.5) 추진목적 연간금융 IT 보안주요트렌드분석을기반으로 2016년도 10대이슈도출을통해금융 IT 보안의정책방향및전략수립지원 추진방향 선정기준개선, 객관성및신뢰성확보, 주요이슈전망도출 을통해보안담당자는물론, 최고경영층 (CxO) 도관심가질수있도록추진 - 주제선정에있어서보안기술은물론정책적이슈도적극적으로고려 - 흐름파악은물론의사결정에도움이될수있는구체적이슈선정 - 빅데이터분석, 전문가패널검토를통해결과의신뢰성확보 단계별추진방안 - 1 -
2016 년금융 IT 보안 10 대이슈전망 붉은색은빅데이터분석및설문조사를통해도출된 이슈키워드 명 1 핀테크서비스확대와보안성요구증가 2 금융거래정보를이용한빅데이터활성화 3 바이오인증 (FIDO 등 ) 기술을활용한금융서비스확대 4 실명확인방식전환에따른비대면금융거래확산 5 금융권자율보안체계확립과금융보안거버넌스강화 6 블록체인을을활용한금융서비스본격등장 7 클라우드서비스활성화를위한보안투명성요구증대 8 모바일및표적형랜섬웨어증가 9 진화된기법을활용한 DDoS 공격의지속시도 10 FDS 구축확산과위협정보공유확대 - 2 -
1 핀테크서비스확대와보안성요구증가 다양한 IT 기술과금융의융합을통해새로운금융서비스가등장 하고핀테크기업및서비스에대한리스크관리강화필요성대두 결제송금분야를벗어나투자대출 인터넷전문은행 보험등다양한금융분야에서핀테크신규서비스도입이예정되어있음 < 다양한핀테크기술분야별추진현황 > 구분 2015년 2016년 인터넷전문은행 예비사업자인가 (11월) 상용서비스개시 ( 하반기 ) 생체인식시범도입 (12 월, 일부은행 ) 본격도입 (16 년, 주요은행 ) OPEN API 규격화, 시험 검증 (12 월, 테스트베드 ) 본격서비스제공 ( 하반기 ) 블록체인거래시스템 도입방안내부검토, 핀테크기업과제휴 외환송금기술상용화 ( 상반기목표, S 은행 ) 전망 핀테크서비스가간편결제이외의다양한분야로확대됨에따라 사업주체간경쟁이심화되고신규보안위협등장예상 금융회사 핀테크기업등금융서비스주체의보안위협에대한대응수준에따라핀테크서비스의경쟁력확보 이슈 서비스제공주체별로핀테크서비스는물론 신규보안기술에대한투자와보안성검증필요성증대 - 3 -
2 금융거래정보를이용한빅데이터활성화 금융위원회의제 4 차금융개혁회의 ( 15.6.3) 에서 금융권빅데이터 활성화방안 발표를계기로금융권은빅데이터활용방안강구中 해외 * 는모든업권에서빅데이터가새로운방법으로다양하게활용 되는반면국내의경우마케팅, 보험사기적발위주의초기활용단계 < 금융관련빅데이터활용사례 > 구분 금융회사 주요내용 은행 IBK기업은행고객감성분석등기업이미지제고에활용 SC제일은행개인 SNS를이용한타겟마케팅활용 보험 삼성화재도덕적해이사고및고위험군사고분석시스템개발교보생명위험평가모델을통한언더라이팅업무효율개선 카드 신한 현대카드고객마케팅및신상품개발에활용롯데카드백화점, 마트등계열사와제휴해마케팅및서비스제공 금융보안원은금융회사와공동으로금융거래정보의빅데이터 활용을위한지침개발중이며재식별가능성을최소화 빅데이터처리과정에서개인식별정보획득에의한정보유출및 오남용위협제기 ( 전망 ) 금융권빅데이터활용을통해핀테크기업과금융회사는신규서비스발굴, 고객맞춤형서비스제공등서비스다양화 ( 이슈 ) 금융권빅데이터가점진적활용확대를위하여정보보호법령상명확화, 투명한인프라운영, 금융회사의기술적 관리적비식별화방안마련을통한정보유출및오남용위협에대응 - 4 -
3 바이오인증 (FIDO 등 ) 기술을활용한금융서비스확대 스마트폰등 IT기기의발전으로지문정보를활용한비대면본인인증서비스가금융거래 * 에활용되면서금융권도입검토활발 금융거래시바이오정보를활용하여본인식별또는본인인증등기존공인인증서 *, 결제비밀번호대체수단으로일부활용 생체인증 ( 정맥, 홍체등 ) 을통해기존금융업무를무인화기기가대신하거나, 카드또는통장없이 ATM이용등금융권생체인증도입추진 < 금융권바이오인증도입사례 > 금융회사 주요내용 신한은행 정맥으로본인인증확인하는셀프뱅킹서비스 기업은행 홍채를인증자동화기기 (ATM) 시범운영 NH농협은행 비대면마케팅채널로생체인증을활용한상품가입서비스 메트라이프생명 성문 ( 음성 ) 인식방식을활용한콜센터상담활용 신용카드회사 스마트폰의지문인식을활용한카드결제서비스 ( 전망 ) 보안업계의바이오인증기반다양한솔루션출시 * 와전자금융거래시바이오인증도입이금융권전반으로확산 ( 이슈 ) 바이오정보의안전한저장 관리를위한보안가이드마련, 금융사별다양한생체기술도입시고객정보관리효율화, 기존인증기술 ( 공인인증서 ) 과융합시금융표준화요구증대예상 - 5 -
4 실명확인방식전환에따른비대면금융거래확산 금융당국은국내핀테크산업활성화정책의일환 * 으로금융거래를위한실명확인시다양한비대면실명확인방식 ** 을허용함으로써소비자편익제고및본격적인핀테크산업활성화추진 15년 12월에은행권의계좌개설등비대면실명확인서비스개시시작으로 16년증권사와저축은행등제2금융권에서도창구방문없이계좌개설과같은금융업무가능 16년지점방문없이스마트폰등으로모든은행업무를이용하는인터넷전문은행신규도입 ( 전망 ) 비대면실명확인서비스가도입확산됨으로써비대면계좌개설등고객편의가제고되고, 다양하고차별화된금융서비스에활용됨으로써핀테크산업활성화에기여 ( 이슈 ) 신분증사본및개인정보유출방지를위한보안대책강화요구, 명의도용및대포통장확산등금융사기방지를위해 FDS 활용등사후대응체계강화요구 - 6 -
5 금융권자율보안체계확립과금융보안거버넌스강화 금융위 금감원은금융개혁의일환으로각종규제를완화하고, 보안 규제의패러다임을사전규제에서사후점검및책임강화로전환 < 최근전자금융관련규제완화내용 > 규정개정내용매체분리원칙폐지, 보안프로그램설치의무폐지공인인증서사용의무폐지, 인증방법평가위원회폐지, 국가기관인증정보보호제품사용의무폐지금감원보안성심의의무폐지 시행일 '15.2월 '15.3 월 '15.6월 금융당국은 금융IT부문자율보안체계확립방안 * 마련( 15.6) 하고, 금융회사는자체보안성검토등자율적보안강화추진 일부금융회사는자체점검 내부통제및보안역량강화등을통해금융보안거버넌스 * 체계확립하여운영중에있음 ( 전망 ) 금융회사의책임과역할의강화가요구되고최고경영층, CISO, 보안실무조직, 본점 영업점등현업조직간의 ( 전사적 ) 정보보호거버넌스활동확대예상 ( 이슈 ) 금융보안거버넌스강화를위한세부실행방안 * 마련과금융회사규모별 권역별자율보안실행역량확보방안요구 - 7 -
6 블록체인을을활용한금융서비스본격등장 분산식원장기술 (distributed ledger technology) 을사용하는블록체인은높은보안성, 거래내역의투명성, 비용절감등의장점으로글로벌금융시스템의새로운기회로부상 블록체인은가상화폐 (Bitcoin) 에서부터시작되어 P2P대출, 거래인증등최근핀테크기술과융합되어다양한분야에활용 구분 비트코인 P2P 대출 주식거래 ( 거래인증 ) 해외송금 내용 디지털통화로발행하고관리하는중앙장치가존재하지않는구조를가지고, 거래는 P2P 기반분산데이터베이스를이용한공개키암호방식기반으로거래를수행. 거래내역이가입자간모두공개되며, 익명성을보장할뿐만아니라수수료가거의없음개인투자자들이금전을맡기면, 대출을원하는이용자들의평판정보를분석하여금전을빌려줌으로써발생되는수익을개인투자자들에게분배해주는서비스. 투자자및대출자의금전은블록체인을이용하여투명성및신뢰성을보장함나스닥의프라이빗마켓은변호사에게거래를승인받도록하여거래속도가느렸으나, 이과정을블록체인으로대체하여모든거래를자동으로검증하는데이용할계획임블록체인기술을사용하여중개기관없이개인간직접거래하여수수료절감. 미국핀테크기업 (Ripple) 은블록체인기술을사용하여기존에비해 10분의 1 수준의수수료부과 ( 전망 ) 블록체인기술의분산성, 보안성, 무결성등의특징을바탕으로클라우드펀딩등새로운금융서비스응용에활발히적용되고, 기존금융인프라와보안기술을보완하는방식으로발달예상 ( 이슈 ) 블록체인기술등새로운기술수용을위한규제완화검토가필요하며, 블록체인의활용분야및기술수용의방법론 * 선택에있어금융회사의비즈니스목적과규모에맞추어도입필요 - 8 -
7 클라우드서비스활성화를위한보안투명성요구증대 정부는산업전반의비용절감및생산성향상뿐만아니라클라우드를기반으로금융, 의료, 교육, 방송등다양한분야에서신규융합서비스가창출될수있도록클라우드발전법 ( 15년9월) 시행 해외의경우클라우드서비스가금융거래데이터분석, 위험관리업무, 직원간협업등다양한목적으로활용 국내금융권의경우, 장애, 보안에대한우려와규제와같은불안요소로인해클라우드서비스활성화가부진한상황 ( 전망 ) 공공부문의클라우드서비스도입활성화와더불어금융회사는수익성하락에따른관리비용절감과상품서비스경쟁력향상을위한방안으로도입증가예상 - 금융부문은 가상화 (Virtualization) 방식으로전산센터를제외한현업 영업점의논리적망분리가지속적으로증가하고있는추세 ( 이슈 ) 클라우드도입활성화를위한금융당국의여러규제완화요구, 서비스장애대응및보안성확보를위한인증제의수요증가예상 - 클라우드서비스제공자의경우, 보안책임분할 / 소재의명확한규명, 보안관리및보안정책의구체적인적용방안고려 - 금융회사의경우, 물리적기반의보안기술들과클라우드환경에필요한보안기술들의안정적인통합가능성고려 - 9 -
8 모바일및표적형랜섬웨어증가 최근랜섬웨어의공격대상이 PC 기반에서모바일기기로확대되고, 공격방식또한대규모공격에서표적형공격으로지능화되는추세 올해 4월한글버전크립토락커유포를기점으로증가세를나타내며, 15년 10월, 11월두달간변종랜섬웨어의공격으로피해급증 랜섬웨어의유포방식이드라이브바이다운로드, 이메일, 애드웨어광고서버등으로다양화 ( 전망 ) 시그너처 / 행위기반탐지기술을우회하는자동알고리즘을탑재하는등진화된변종랜섬웨어로인한피해급증과, 리눅스, 맥 OS, IoT기기등공격대상이더욱확대될것으로전망 ( 이슈 ) 무작위로개인을낚던랜섬웨어가표적형으로진화하여금융회사및정부로타겟확장이예상되며, 표적형공격에대응하기위한공동대응체계강화필요 - 10 -
9 진화된공격기법을활용한 DDoS 공격의지속시도 각기관및국가적유기적인대응체계운영에도불구하고새로운 공격기법과공격규모의증가로인해공격피해가끊임없이지속 <2015 년주요 DDoS 공격사례 > 구분시기대상특징 DD4BC 해킹그룹 XOR.DDoS 봇넷 `15 년 6 월,7 월 `15 년 8 월,9 월 Armada 해킹그룹 `15 년 10 월,11 월 한국 ( 은행, 증권사 ) 아시아 ( 교육, 게임사 ) 태국, 그리스 ( 은행 ) - SSDP, NTP 등 UDP 증폭반사공격시도 - 공격중지대가로비트코인지불요구 - Syn, DNS Flooding 공격시도 - 리눅스악성코드를이용한 DDoS 봇넷이용 - DD4BC 를모방한 DDoS 공격해킹그룹 최근 공격의특징은공격영향력의강도와빈도측면에서여전히증가추세 공격에 기기 활용이증가 < IoT기기를악용한 DDoS공격사례 (SSDP 증폭반사공격 ) > 전망 다양한산업영역에서사물인터넷 형단말장치의사용이증가함에따라사이버공격도구로이용이예상 이슈 금융사도보안위협대응을위해 기기의관리방안마련이요구되며 다양한장치를매개로한 증폭공격시도에대비필요 - 11 -
10 FDS 구축확산과위협정보공유확대 금융회사는공인인증서등한정된보안수단만으로는지능화된이상금융거래대응에한계를노출 개별금융회사의 FDS 운영을통해파악된사고정보및이상금융거래등사고예방을위한위협정보공유가필요 고도화되는전자금융사고에보다적극적이고효과적으로대응할수있도록 FDS 도입 구축확산중 금융보안원은전사적금융권공동대응을위해위협정보를공유할수있는이상금융거래정보공유시스템구축을완료 ( 전망 ) 금융권의 FDS 구축확대및이상금융거래정보공유시스템구축 운영으로위협정보에대한신속한공유를통해사고예방및피해확산방지에크게기여할것으로기대 - 금융고객의특성상다수의금융회사와거래하고, 편의상비밀번호를유사하게사용하는경우가많아사고예방에효과가클것으로예상 ( 이슈 ) 위협정보공유를위한후속절차 ( 개인정보수집동의등 ) 및정보공유활성화를위한제도적기반조성필요 - 12 -
참고주요용어해설 온라인상에서아이디 비밀번호없이지문 홍체 정맥등생체인식만으로보다간편하게인증을처리하는표준규격을의미하며제조자 서비스사로구성된 얼라이언스에서관련규격을제정 금융보안거버넌스국제표준정보보호거버넌스 를기반으로금융회사의전사적인금융보안을위해최고경영층과보안실무조직 본점 영업점등현업조직간의상호협력을통한적극적인정보보호활동 블록체인분산데이터베이스의한형태로 지속적으로성장하는데이터기록리스트로서분산노드의운영자에의한임의조작이불가능하도록고안 잘알려진블록체인의응용사례는암호화폐의거래과정을기록하는탈중앙화된전자장부로서비트코인이있음 랜섬웨어 인터넷사용자의컴퓨터에잠입해내부의파일등을암호화해열지못하도록만든후돈을보내주면해독용열쇠프로그램을전송해준다며금품을요구하는악성프로그램 공격 인터넷사이트에 서비스거부 를유발하는해킹기법으로 대규모의접속통신량 트래픽 을한꺼번에일으켜서비스체계를마비시키며불특정다수의컴퓨터에악성컴퓨팅코드인 좀비 를퍼뜨린뒤 공격에이용하는게특징 유럽소재해킹그룹으로 년부터대규모비트코인갈취공격을 - 13 -
벌인 그룹은최근 년사이 공격범위를금융기관뿐아니라미디어 엔터테인먼트 온라인게임 유통등보다다양한산업으로확대 전자금융거래에사용되는단말기정보 접속정보 거래내용등을종합적으로분석하여의심거래를탐지하고이상금융거래를차단하는시스템 누구나사용할수있도록공개된 응용프로그램을쉽게만들수있도록준비된프로토콜 도구같은집합으로운영체제의상세한기능은몰라도공개된몇개의 만으로쉽게응용프로그램개발이가능 - 14 -