대형은행들은 관리해야 할 정보기술(IT) 자산이 최대 수만개에 달하지만, 자산관리 시스템의 기술적 한계로 모든 정보를 파악하기 어려워 엑셀 등을 활용한 수작업을 병행하고 있는 상황이다. 전체 IT자산의 구성과 보안 취약점을 파악하는 데 어려움이 있어 해킹 공격에 노출될 우려가 크다는 지적이다. 은행권에서는 IT자산 관리 강화의 필요성에 공감하면서도 현재 기술 수준을 고려한 단계적 도입이 필요하다는 의견이 나온다.
14일 은행권에 따르면 국내 대형은행들이 보유한 서버, WEB/WAS(웹/웹 애플리케이션 서버), DB(데이터베이스), 정보보호 시스템, 컨테이너 가상화시스템 등 주요 소프트웨어 IT자산은 수만개 수준이다.
은행들이 전체 IT자산 규모를 정확한 숫자 대신 '수만개' 수준으로 설명하는 것은 모든 자산을 빠짐없이 파악하기 어렵기 때문이다. 은행들은 오랜 기간 전산시스템을 개발·운영해온 데다 일선 사업부서와 개발자들이 업무 필요에 따라 새로운 프로그램을 만들거나 기존 시스템에 외부 접점을 추가해왔다.
특히 자산이 수시로 도입·변경·폐기되는 만큼 전체 IT자산의 규모를 정확히 산정하기는 쉽지 않다. 이에 일부 자산의 경우 기록이 누락되거나 엑셀 등을 활용해 전산에 입력하는 경우도 적지 않은 상황이다. 금융당국은 이번 해킹 사태도 보안부서가 모든 프로그램의 존재와 구성, 보안 수준 등을 파악하지 못했기 때문으로 보고 IT자산의 전산화를 추진하는 것이다.
금융당국은 특히 소프트웨어 자재명세서(SBOM·Software Bill of Materials)의 중요성을 강조하고 있다. SBOM은 하나의 소프트웨어를 구성하는 오픈소스와 라이브러리(코드 모음) 등의 종류와 버전, 상호 의존관계를 정리한 목록이다. IT자산 식별·관리가 어떤 서버와 프로그램을 보유하고 있는지 파악하는 큰 개념이라면, SBOM은 개별 프로그램이 어떤 소프트웨어 구성요소로 만들어졌는지까지 확인하는 세부 관리 수단이다.
예를 들어 특정 오픈소스에서 보안 취약점이 발견되면 SBOM을 활용해 해당 오픈소스가 사용된 프로그램을 찾아낼 수 있다. 이를 IT자산관리시스템과 연계하면 영향을 받는 서버와 업무시스템을 파악해 보안패치 대상을 신속하게 선별할 수 있게 된다.
그러나 금융권의 SBOM 도입 수준은 아직 미흡하다. 국내 4대 은행(KB국민·신한·하나·우리) 가운데 1곳만 일부 시스템에 SBOM을 도입했고, 나머지 3곳은 도입을 추진하는 단계다.
독자들의 PICK!
은행권에서도 IT자산 식별·관리 의무화가 보안 사각지대를 줄이는 데 도움이 될 것으로 보고 있다. IT자산을 두고 가시성이 확보되면서 취약점 점검과 보안패치 대상을 더 신속하게 파악할 수 있기 때문이다.
다만 IT자산 정보를 한곳에 집중하면 해커의 '단일 공격 지점'이 될 수 있다는 우려도 제기된다. 또 이번 해킹과 IT자산 식별·관리 부실의 직접적인 연관성에 대한 이견도 있다. 이번 사고가 관리 대상에서 누락된 자산의 취약점을 이용한 것이 아니라 이미 관리 중이던 시스템의 인증 우회 취약점을 악용한 공격이었기 때문이다.
아울러 기술 수준에서 구축가능한 시스템의 한계가 있어 추가적인 비용과 인력 부담도 과제로 꼽힌다. 한 대형은행 관계자는 "현재 기술 수준에서는 모든 자산의 관리를 자동화하는 솔루션을 제공하는 업체가 많지 않아 100% 전산화를 구축하는 과정에서 긴 시간이 소요될 것"이라며 "의무화 전에 내부 자산관리 담당자를 명확히 하고 관리 자산의 범위 지정 등이 동반돼야 혼선이 없을 것이다"라고 말했다.
