이은미號 토스뱅크, 선제적 보안 내재화…AI 도우미·DR 훈련 등 차세대 전략 강화 [은행권 IT·보안 전략]

[한국금융신문 우한나 기자] 토스뱅크가 개인정보보호·정보보안 전담 조직인 ‘정보보호 디비전’을 운영하고, 인터넷전문은행 최초로 ‘정보보호 대상’을 수상하며 업계 최고 수준의 보안 경쟁력을 입증했다.

특히 매년 KISA 공시를 자발적으로 진행하고 IT 투자액의 10% 이상을 보안 분야에 투입하는 등 투명성과 투자 비중에서 차별화를 이루고 있다.

나아가 AI 기반 개인정보보호 도우미 개발, 개인정보 수명주기 모니터링 체계 구축, DR·BCP 정례화 훈련 등을 통해 차세대 보안·개인정보보호 전략도 속도감 있게 준비하고 있다.

‘정보보호 디비전’ 운영…고객 데이터 전방위 보호

토스뱅크는 개인정보보호와 정보보안을 전담하는 독립 조직인 ‘정보보호 디비전(Security Division)’을 운영하고 있다.

보안전략, 개인정보보호, 보안엔지니어링, 사이버보안, 정보보호 자체감사 등 영역별 전문인력이 협업하며 고객 데이터 수집부터 저장·이용·폐기까지 전 과정을 체계적으로 관리한다.

또한 자체 관제와 전문기관 위수탁을 병행한 24시간 이중 보안관제를 실시하고, 정기점검·교육·모의훈련을 통해 개인정보와 정보자산이 철저히 보호될 수 있도록 관리 체계를 강화하고 있다.

개인정보보호 책임은 이정하 CISO(Head of Security)가 총괄한다. 금융권과 ICT 분야에서 다년간 경험을 쌓아온 보안 전문가로, 개인정보보호·정보보호 관리체계 구축과 침해 대응 전략 수립 등에서 전문성을 발휘하고 있다. 이정하 CISO 리더십 아래 토스뱅크는 출범 초기부터 정보보호 문화를 조직 전반에 내재화해왔다.
그는 2003년 하나생명보험 정보기술팀, 2006년 미래에셋생명보험 정보보호팀을 거쳐 2020년 토스뱅크에 합류했으며 현재까지 정보보호 책임자로 활동 중이다.

자체 역량으로 국내외 보안 인증 석권

토스뱅크는 ISO/IEC 27001(정보보호), ISO/IEC 27701(개인정보보호), 금융보안원 ISMS-P(정보보호 및 개인정보보호 관리체계), PCI-DSS 등 국내외 주요 보안 인증을 모두 확보하며 관리체계의 우수성을 입증했다.

특히 외부 컨설팅에 의존하지 않고 자체 역량으로 인증을 취득해 보안 내재화 수준을 한 단계 끌어올린 점이 차별화 요소로 꼽힌다.

지난해에는 자체 개발한 취약점 진단·관리 시스템, 보안사고 예방을 위한 모니터링·탐지 역량, 적극적인 보안 투자 등을 인정받아 인터넷전문은행 최초로 ‘정보보호 대상(과학기술정보통신부 장관상)’을 수상했다. 이는 매년 가장 높은 보안 대응력을 보여준 기관에 수여되는 상으로, 토스뱅크의 보안 역량이 대외적으로 공인된 사례다.

KISA 공시·투자 확대…차세대 보안 기술·내부 문화 정착

또한 인터넷은행 중 유일하게 매년 한국인터넷진흥원(KISA) 정보보호 공시 포털에 정보보호 현황을 자발적으로 공개하고 있으며 전체 IT 투자액의 10% 이상을 정보보호 분야에 투입해 업계 최고 수준의 보안 투명성과 투자 비중을 유지하고 있다.

토스뱅크는 AI 기반 이상행위 탐지 고도화, 자동화된 침해사고 대응, 개인정보 자동 분류 및 비식별화 시스템 고도화 등 차세대 보안 기술을 적극 도입하고 있다.

아울러 오픈소스 및 공급망 취약점 관리 체계를 강화해 선제적 보안 대응력을 높이고, 전 직원 대상 보안 교육·자체 피싱 모의훈련·보안 뉴스레터 캠페인을 통해 ‘생활 속 보안 문화’를 정착시켰다.

올해는 CISO 직속으로 정보보호 자체감사팀을 신설해 상시평가와 자체 진단을 강화하고 있으며 정보보호위원회를 수시로 개최해 신속한 의사결정 체계를 운영하고 있다.

신규 서비스부터 AI 기반 대응까지…선제적 보안 내재화

토스뱅크는 신규 서비스 기획 단계부터 개인정보보호와 보안 요구사항을 선제적으로 반영해 고객이 안심할 수 있는 금융환경을 구축하고 있다.

제로트러스트 기반 접근 통제, 클라우드 보안 고도화, 랜섬웨어 등 고위험 시나리오 대비한 재해복구(DR) 및 업무연속성계획(BCP) 훈련을 정례화하며 보안·개인정보보호 수준을 지속 강화할 방침이다.

최근 AI 기술을 활용해 개인정보보호 전담 AI 도우미를 개발하고 있으며 이를 통해 개인정보 관련 문의에 대한 1차 응대를 자동화할 계획이다. 아울러 개인정보 수명주기 단계별(수집·이용·제공·파기) 상태를 명확히 파악할 수 있는 자체 모니터링 체계도 구축 중이다.

토스뱅크 관계자는 “국제표준 인증과 외부 심사를 통해 관리체계를 주기적으로 고도화하고 인력과 투자를 지속 확대해 글로벌 최고 수준의 정보보호 체계를 유지하겠다”고 말했다.

우한나 한국금융신문 기자 hanna@fntimes.com