[인터뷰] 김유경 농협은행 CISO “정보보안은 은행의 뼈대… 내년, 첨단기술로 보안시스템 확대”

3년 간 시스템 자동지능화 추진
은행권 첫 인공지능 딥러닝 통해
핀테크 등 전방위 침해위협 분석
25년 내부 IT·보안 전문가 활동
"결국 은행업무는 사람이 하는 일
전직원 보안의식 교육 등 필요"

김유경 농협은행 정보보안부문장(CISO)이 21일 서울 서대문 농협은행 본사에서 기자의 질문에 답하고 있다./사진=농협은행

“지난해부터 내년까지 3년간 시스템 전반의 자동 지능화를 통한 보안고도화사업을 진행하고 있습니다. 사람이 탐지 못하는 위협을 보안 첨단 시스템이 자동으로 찾아 처리까지 완료하는 보안시스템을 구축하는 것입니다.”

김유경 농협은행 정보보안부문장(CISO, 부행장)은 22일 서울 서대문 농협은행 본사에서 진행한 아시아투데이와의 인터뷰에서 이같이 밝혔다. IT보안부장 등을 지낸 김 부문장처럼 보안실무자가 은행의 정보보안을 총괄하는 임원 자리에 오른 건 은행권에서 처음이다. 그만큼 농협은행에서 정보보안의 중요성에 대한 인식이 강화됐다는 평가다.

김 부문장은 “금융상품을 판매하는 은행에서 정보보안은 신뢰를 판매하는 역할을 한다”며 “고객은 금융사가 우리 자산을 얼마나 안전하게 지켜주는지 주의 깊게 보기 때문”이라고 강조했다.

농협은행뿐 아니라 농협중앙회·농협금융지주 등 전반의 보안을 담당하는 CISO로서 그는 농협 전체의 보안사업 현황에 대해서도 설명했다. 먼저 국내 은행권 최초로 추진하는 대표 사업으로 빅데이터와 인공지능(AI)을 적용한 단말이상행위탐지시스템(EDR)과 보안관제 대응체계(SOAR) 구축 사업을 꼽았다. 김 부문장은 “농협중앙회까지 포함해 은행의 다섯 배 규모를 총괄해야 하는 만큼 첨단기술이 아니면 보안문제를 탐지하기가 쉽지 않다”면서 “기술 발전이 빨라 빅데이터의 경우 3년 전 완성해 지금 성숙단계를 거치고 있으며, 인공지능은 아직 일부에서만 쓰고있지만 딥러닝을 통해 데이터를 더 학습하면 알고리즘이 정확해져 전체로 확대할 수 있을 것”이라고 설명했다.

EDR은 PC에 대한 지능형 탐지시스템으로, 수십만개의 파일과 데이터를 인공지능을 통해 분석, 악성 행위 및 코드를 탐지한다. EDR이 숲(시스템)의 개별 나무(각 PC)를 살펴본다면, SOAR은 관제 지능형으로 숲 전체를 보는 방식이다. SOAR는 마치 오케스트라 지휘자처럼 PC 이외에도 센터 터 네트워크의 전체 데이터를 전반적으로 보고 분석한다. 특정 정보가 이 보안 시스템을 거치면 두 차례의 보안 필터를 통해 이중으로 걸러지는 셈이다.

김 부문장은 “중장기 과제로 내년까지 1차 인프라를 구축한 후, 피드백을 통해 시스템 고도화 장기 과제를 진행할 것”이라며 “탐지율을 높이고 악성코드 및 행위 데이터를 걸러내는 데 정확도를 높이려면 2~3년 더 걸릴 수 있다”고 말했다.

현재 EDR의 경우 총 10만대 PC를 목표하는 가운데 지난해 4000여대 PC에 해당 시스템을 적용 완료했다. 또 통합업무시스템에 보안시스템을 적용, 각종 데이터를 수집·분석해 개인정보 오남용 행위들을 잡아내는 성과도 있다. 과거 행원들이 관행처럼 가족이나 연예인 금융 정보를 조회해보는 행위 등을 모니터링해 잡아내는 것이다. 이밖에 웹메일 점검 전후 발송량 변화, 캠페인 전후 개인정보 보관건수 변화, 업적평가 전후 고객관리(CRM) 조회건수 비교, 직급별 교육평가 점수 분포 비교, 동향지 다운로드받은 직원과 그렇지 않은 직원의 차이 비교하는 등 여러 지표들을 분석해 정보보호 인식이 좋아지고 있는지 측정해보는 작업도 진행하고 있다.

25년간 행내 IT·보안 전문가로서 현장에 있었던 김 부문장은 행내외 정보보안의 중요성에 대한 공감대 형성도 중요하다고 강조했다. 그는 “내부 조직에서 보안의 중요성에 대해 공감대 형성만 성공한다면 정보보안은 절반 이상 성공했다고 보면 된다”며 “결국 은행업무는 사람이 하는 일인 만큼, 고객을 만나는 현장 직원들을 설득하고 동참을 이끌어내는 게 무엇보다 중요하다”고 말했다.

이어 그는 “시스템은 담당 직원이 만들면 가능한 부분이지만, 전직원 보안의식은 부단한 설득과 교육 등 캠페인이 필요하다”면서 “1만2000여명의 전 직원 모두 사이버 교육을 끝까지 받게 하면서 정보보안에 대한 교육 전후 인식차이도 분석하는 등 효과를 보고 있다”고 덧붙였다.

한편 김 부문장은 이달 초 열린 ‘제9회 정보보호의 날’ 기념식에서 정보보호 발전에 기여한 공로로 과학기술정보통신부 장관 표창을 받기도 했다.