대형은행들은 관리해야 할 IT(정보기술)자산이 최대 수만 개에 달하지만 자산관리시스템의 기술적 한계로 모든 정보를 파악하기 어려워 엑셀 등을 활용한 수작업을 병행하는 상황이다.
14일 은행권에 따르면 국내 대형은행들이 보유한 서버, 웹·WAS(웹애플리케이션서버), DB(데이터베이스), 정보보호시스템, 컨테이너 가상화시스템 등 주요 SW(소프트웨어) IT자산은 수만 개에 이른다.
은행들이 전체 IT자산 규모를 정확한 숫자 대신 '수만 개' 수준이라고 설명하는 것은 모든 자산을 빠짐없이 파악하기 어렵기 때문이다. 은행들은 오랜 기간 전산시스템을 개발·운용해온 데다 일선 사업부서와 개발자들이 업무 필요에 따라 새로운 프로그램을 만들거나 기존 시스템에 외부접점을 추가해왔다.
특히 자산이 수시로 도입·변경·폐기되는 만큼 전체 IT자산의 규모를 정확히 산정하기 쉽지 않다. 이에 일부 자산의 경우 기록이 누락되거나 엑셀 등을 활용해 전산에 입력하는 경우도 적지 않은 상황이다. 금융당국은 이번 해킹사태도 보안부서가 모든 프로그램의 존재와 구성, 보안수준 등을 파악하지 못했기 때문이라고 보고 IT자산의 전산화를 추진한다.
금융당국은 특히 SBOM(Software Bill of Materials·소프트웨어 자재명세서)의 중요성을 강조한다. SBOM은 하나의 SW를 구성하는 오픈소스와 라이브러리(코드 모음) 등의 종류와 버전, 상호 의존관계를 정리한 목록이다. 그러나 4대은행(KB국민·신한·하나·우리) 가운데 1곳만 일부 시스템에 SBOM을 도입했고 나머지 3곳은 도입을 추진하는 단계다.
은행권에서도 IT자산 식별·관리 의무화가 보안 사각지대를 줄이는 데 도움이 될 것이라고 본다. IT자산에 대한 가시성이 확보되면서 취약점 점검과 보안패치 대상을 더 신속하게 파악할 수 있기 때문이다.
하지만 IT자산 정보를 한곳에 집중하면 해커의 '단일공격 지점'이 될 수 있다는 우려도 제기된다. 또 이번 해킹과 IT자산 식별·관리 부실의 직접적 연관성에 대한 이견도 있다. 이번 사고가 관리대상에서 누락된 자산의 취약점을 이용한 것이 아니라 이미 관리 중이던 시스템의 인증우회 취약점을 악용한 공격이었기 때문이다.
한 대형은행 관계자는 "현재 기술수준에서는 모든 자산의 관리를 자동화하는 솔루션을 제공하는 업체가 많지 않아 100% 전산화를 구축하는 과정에서 긴 시간이 소요될 것"이라며 "의무화 전에 내부 자산관리 담당자를 명확히 하고 관리자산의 범위지정 등이 동반돼야 혼선이 없을 것"이라고 말했다.