금융보안원이 생성형 AI를 악용한 해킹 등 고도화되는 사이버 공격에 대응하기 위해 실제 공격 시나리오를 반영한 금융권 침투테스트(모의해킹) 기준을 마련했다.
금융보안원은 3일 금융회사가 실제 공격자 관점에서 침투테스트를 수행할 수 있도록 '금융분야 침투테스트(모의해킹) 수행 가이드라인'을 발간했다.
이번 가이드라인은 개인정보 상시평가에 모의해킹 항목이 신설되고 정보보호 및 개인정보보호 관리체계(ISMS-P) 기술심사에도 모의침투가 도입되는 등 관련 제도적 요구가 확대된 데 맞춰 마련됐다.
생성형 AI를 악용한 공격이 고도화되고 여러 취약점을 연계한 침투가 늘어나면서 금융회사가 실제 공격에 얼마나 대응할 수 있는지 점검할 필요성이 커진 데 따른 것이다.
가이드라인은 사전 준비, 점검 수행, 결과 보고, 사후관리 등 침투테스트의 4개 단계별 절차를 제시하고, 3개 분야 6개 항목으로 구성된 체크리스트를 담았다.
특히 미국 방산기업 록히드마틴이 개발해 국제적으로 널리 활용되는 '사이버 킬체인(Cyber Kill Chain)'과 MITRE ATT&CK 프레임워크를 반영한 것이 특징이다. 기존처럼 취약점을 단순히 찾는 데 그치지 않고 정보수집부터 초기 침투, 내부 확산, 핵심 자산 접근까지 실제 해커의 공격 과정을 시나리오 형태로 재현해 금융회사의 대응 체계를 검증하도록 했다.
금융보안원은 국내 화이트해커로 구성된 침투테스트 전문 조직 'RED IRIS'를 운영하며 금융권 모의해킹을 지원하고 있다. 앞으로 현장 적용 결과와 금융회사의 의견을 반영해 가이드라인을 지속 보완할 계획이다.
박상원 금융보안원장은 "AI를 악용한 공격이 빠르게 고도화되는 상황에서 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수"라며 "금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 적극 지원하고 현장 의견을 반영해 가이드라인을 지속 보완하겠다"고 말했다.
