GA·설계사 데이터베이스 접근 통제 강화…2차 인증 등 보안 조치 확대
금융권을 겨냥한 해킹 우려가 커지면서 아직 해킹 피해를 입지 않은 보험사들이 보안 대응 강화에 총력을 기울이고 있다. 하지만 구체적인 방어 체계와 대응 방식은 외부에 공개하지 않는 분위기다. 해커들의 표적이 될 수 있다는 우려에서다.
16일 보험업계에 따르면 한화생명 등 대형 보험사들은 보안 시스템과 구체적인 대응 방식조차 외부 공유를 금지하는 방침을 정하고 신중한 입장을 보이고 있다. 공격 차단 방식이나 시스템의 취약점을 보완하는 절차가 외부에 알려질 경우 해커들이 이를 분석해 우회 공격을 시도할 수 있다는 설명이다. 보안 역량을 대외적으로 과시하기보다 내부 점검과 예방 조치에 집중하는 모습이다.
한 대형 보험사 관계자는 "관련 부처에서도 해킹 대응 관련해서는 대외적으로 말을 아끼는 분위기"라며 "자칫 우리가 대응하는 부분이 해커에 역이용 당해 표적이 될 수 있어서 '문제없다' 정도로만 외부에 확인하고 있다"고 말했다.
정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받은 보험사들도 최근 해킹 동향을 예의주시하며 대응 수위를 높이고 있다. ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 정한 총 100개 이상의 통제 항목을 모두 통과해야 주어지는 보안 관련 최고 수준의 인증이다. 이를 받은 대형 보험사 조차 바짝 긴장하고 있는 모습이다. 인증을 획득했더라도 새로운 공격 기법에 노출될 수 있어서다.
이에 관련 부서들이 상황을 실시간으로 모니터링하면서 금융당국과의 협력을 강화하고 있다. 대부분 금융사들은 금융권에서는 해킹 피해 발생 이후 해외 인터넷프로토콜(IP)과 공격자 IP를 차단하고, 외부 해커 시도 등에 대해 매일 확인하고 이에 대한 정보를 금융당국과 함께 공유하고 있다.
특히 보험업은 고객의 이름과 연락처는 물론 계약 및 보장 내역 등 민감한 개인정보를 대량으로 보유하고 있고, 법인보험대리점(GA) 등과도 수많은 정보를 공유하고 있어 해킹에 따른 피해가 클 수 있다. 이에 일부 보험사들은 보안 관리가 상대적으로 취약할 수 있는 GA와 보험설계사 관련 시스템의 접근 통제도 강화하고 있다. 고객정보 데이터베이스에 접근할 때 2차 인증을 적용하는 등 인증 절차를 강화해 계정정보가 유출되더라도 무단 접근을 어렵게 하는 데 주력하고 있다. 보험사 내부 시스템뿐 아니라 고객정보를 취급하는 판매 채널까지 보안 관리 범위를 넓히는 것이다.
보험업계 관계자는 "지금 '괜찮다'고 말했다가 나중에 해킹 피해를 입었는데도 파악하지 못하는 경우가 있어 외부 대응도 쉽지 않다"면서 "AI 해킹이 이뤄지다보니 이전 개인정보 사고 때보다 모든 회사가 훨씬 더 예민하게 받아들이고 있는 것 같다"고 말했다.
