[전자신문] IBK기업은행, ‘망분리→데이터 통제’ 전환

IBK기업은행이 ‘망을 나누는 보안’에서 ‘데이터를 통제하는 보안’으로 전환에 나섰다. 데이터 중요도 분류(CSO)를 중심으로 네트워크 구조(N2SF)를 재설계하고, 제로트러스트 기반의 접근 통제를 결합한 ‘통합형 보안 아키텍처’를 구축하는 것으로, 금융권 최초 수준으로 평가된다.

금융권에 따르면 기업은행은 ‘IBK형 망분리 보안 모델’ 설계에 착수했다. 자율보안 체계로의 전환을 전제로, 보안 아키텍처 전면 재설계에 들어간 것이다.

출발점은 데이터를 기밀(C)·민감(S)·공개(O)로 구분하는 CSO 등급 체계다. 기업은행은 모든 정보를 같게 통제하던 기존 방식에서 벗어나, 데이터 중요도를 기준으로 네트워크 구조와 보안 통제 수준을 차등화할 계획이다. 기밀·민감 정보는 폐쇄형 고보안 환경에서 관리하고, 공개 정보는 클라우드와 생성형 인공지능(AI) 환경에서 활용할 수 있도록 분리하는 구조다.

CSO는 전체 보안 체계를 재설계하는 기준으로 작동한다. 데이터 등급을 기준으로 망 구조를 재편한다는 점에서, CSO가 N2SF 설계의 출발점 역할을 맡는다. 기업은행은 이를 기반으로 국가정보원이 추진하는 차세대 망 보안 체계(N2SF)를 금융 환경에 맞게 재구성한 ‘IBK형 모델’을 도출할 방침이다. 기존 업무망과 인터넷망 중심의 이원 구조를 넘어 연구개발망, 클라우드, 서비스형 소프트웨어(SaaS)까지 포함하는 다층 네트워크 보안 구조를 구축하는 것이 핵심이다.

여기에 제로트러스트 보안 모델을 결합한다. 사용자 위치나 네트워크 환경을 신뢰하지 않고, 데이터 등급과 사용자 권한에 따라 접근을 동적으로 통제하는 방식이다.

기업은행의 접근은 기존 금융권 보안 전략과 궤를 달리한다. 다른 은행들이 망분리 완화 범위 내에서 일부 예외를 허용하는 방식에 머무는 반면, 기업은행은 데이터 분류를 기반으로 망 구조 자체를 재정의하는 ‘설계형 전환’을 추진하고 있다. 특히 모델 수립에 그치지 않고 파일럿 환경 구축과 모의 침투를 통한 검증, 내부 규정 개편까지 병행하는 점이 특징이다.

보안 운영 방식도 바뀐다. 기업은행은 부점별 보안 수준을 정량·정성 지표로 평가하고 이를 경영평가(KPI)와 연계하는 방안을 검토 중인 것으로 파악됐다. 보안을 IT 부서 중심의 관리 영역에서 전사 책임 체계로 확대해 ‘자율보안’을 조직 문화로 정착시키겠다는 구상이다.

이번 전환은 생성형 AI 도입과도 맞물린다. 망분리 환경에서는 외부 AI 서비스 활용이 제한적이었지만, 데이터 등급 기반 통제가 정착되면 공개 데이터 영역에서는 AI 활용이 가능해진다. 동시에 민감 정보는 내부 통제 환경에 두면서 보안 리스크를 관리할 수 있어 AI 기반 금융 서비스 확산의 기반이 마련될 것으로 기대된다.

클라우드 및 SaaS 활용도 확대될 전망이다. 외부 서비스까지 통합 관리하는 보안 체계를 구축함으로써 디지털 전환 속도를 높일 수 있기 때문이다.

기업은행은 보안과 혁신을 동시에 달성하고 디지털 금융 전환을 가속한다는 전략이다.

류태웅 기자 bigheroryu@etnews.com