[서울=뉴시스]권안나 기자 = 생성형 인공지능(AI)의 진화로 금융사에 대한 보안 공격이 고도화되고 있는 가운데, 금융보안원이 모의해킹의 개념과 수행 방향을 제시하는 가이드라인을 공개했다.

금융보안원은 금융회사가 실제 공격자 관점의 침투테스트를 체계적으로 수행할 수 있도록 '금융분야 침투테스트(모의해킹) 수행 가이드라인'을 발간한다고 3일 밝혔다.

해당 가이드라인은 금융회사 보안담당자가 침투테스트를 적절히 기획·관리할 수 있도록 단계별 실무 기준을 제시하고, 금융에 특화된 실무 중심 내용으로 구성했다.

▲사전준비 ▲점검 수행 ▲결과보고 ▲사후관리 등 단계별 수행 절차를 제시한다. 3개 분야 6개 항목으로 구성된 체크리스트도 제공한다.

국제적으로 널리 활용되는 'MITRE ATT&CK'과 록히드 마틴의 사이버 킬체인 등 공격 프레임워크를 반영해 정보수집부터 목표 달성까지의 실제 공격 흐름을 재현하는 시나리오 기반 점검 기준을 제시한다.

특히 취약점 목록 도출을 넘어, 초기침투에서 내부확산, 핵심 자산 접근으로 이어지는 실제 공격 흐름(Kill-Chain)을 재현해 보안 체계의 실효성을 검증하도록 지원한다.

금융보안원은 국내 최고 수준의 화이트해커로 구성된 침투테스트 전문부서(RED IRIS)를 운영 중이다. 다년간 축적한 금융권 침투테스트 경험을 바탕으로 금융회사의 침투테스트 수행을 적극 지원하고, 실무 적용 결과를 반영해 가이드라인을 지속 보완할 계획이다.

박상원 금융보안원장은 "AI를 악용한 공격이 빠르게 고도화되는 상황에서, 금융회사가 실제 공격에 대한 대응 역량을 스스로 검증하는 것은 선택이 아닌 필수"라며 "이번 가이드라인을 통해 금융회사가 침투테스트를 안전하고 신뢰성 있게 수행할 수 있도록 적극 지원하고, 현장 의견을 반영해 가이드라인을 지속 보완해 나가겠다"고 말했다.


◎공감언론 뉴시스 mymmnr@newsis.com