금융보안원, 금융분야 모의해킹 수행 가이드라인 발간

금융보안원

[금융보안원 제공]

(서울=연합뉴스) 강수련 기자 = 금융보안원은 금융회사가 실제 공격자 관점에서 침투테스트(모의해킹)를 체계적으로 수행할 수 있도록 가이드라인을 발간했다고 3일 밝혔다.

최근 개인정보 상시평가 모의해킹 항목 신설, 개인정보보호 관리체계 인증(ISMS-P)에 기술심사 모의침투 도입 등 관련 제도적 요구가 늘자 침투테스트의 개념과 범위를 명확히 하고 수행 기준을 마련했다.

이번 가이드라인은 금융회사 보안 담당자가 침투테스트를 적절히 기획·관리할 수 있도록 실무 중심 내용으로 구성했다.

사전 준비, 점검 수행, 결과 보고, 사후관리 등 단계별 수행 절차를 제시하고 3개 분야·6개 항목으로 구성된 체크리스트를 함께 제공한다.

국제적으로 널리 활용되는 마이터 어택(MITRE ATT&CK)과 록히드 마틴의 '사이버 킬체인' 등 공격 프레임워크도 반영해 실제 공격 흐름을 재현하는 시나리오 기반 점검 기준도 담았다.

박상원 원장은 "인공지능(AI)을 악용한 공격이 고도화되는 만큼 금융회사가 대응 역량을 스스로 검증하는 것은 필수"라며 "현장 의견을 반영해 가이드라인을 지속 보완해 나가겠다"고 밝혔다.

[e-mail]