[인터뷰] 정태영 NH농협은행 CISO "정상 위장 공격, AI 관제로 조기 식별" [2026 은행권 보안 전략 ⑥]

[한국금융신문 지다혜 기자] 은행권 보안 과제는 알려진 공격을 차단하는 수준을 넘어 비정상 징후를 조기에 식별하는 단계로 옮겨가고 있다. 생성형 인공지능(AI) 기반 피싱과 공급망 공격, 정상 계정 탈취 위험이 커지면서 사용자·계정·시스템 행위를 통합 분석하는 관제 체계가 중요해졌다.

정태영닫기정태영기사 모아보기 NH농협은행 정보보호최고책임자(CISO)는 한국금융신문과의 서면 인터뷰에서 "과거 보안관제가 알려진 공격을 탐지하는 데 머물렀다면, 이제는 정상 행위로 위장한 공격을 조기에 식별하고 대응하는 역량이 중요해졌다"며 "AI 기반 공격이 확산되는 환경에서는 보안관제와 이상행위 탐지 체계도 이에 맞춰 고도화해야 한다"고 밝혔다.

정 부행장은 2020년 농협은행 보안운영단 단장, 2023년 농협은행 정보보안부 부장을 거쳐 2024년 농협생명 CISO를 맡은 바 있다. 올해부터는 농협은행 정보보호부문 부행장을 맡은 동시에 개인정보보호책임자(CPO), 신용정보관리·보호인(CIAP), 고객정보관리인을 겸직하며 정보보호 관련 업무를 총괄하고 있다.

행위기반 분석으로 이상징후 탐지

정 부행장은 지난해부터 주의 깊게 대응하고 있는 위협으로 ▲생성형 AI를 활용한 피싱과 사회공학 공격 ▲오픈소스·외부 솔루션을 경유한 공급망 공격 ▲AI 서비스 연계에 따른 정보유출 위험을 언급했다. 특히 외부 보안전문회사와 모의해킹을 진행하는 과정에서 AI 도구가 공격 생산성을 높일 수 있다는 점을 확인했다고 설명했다.

농협은행은 이 같은 변화에 대응하기 위해 AI 활용 서비스에 대한 위험평가 체계 운영을 준비하고 있다. 서버 대상 엔드포인트 탐지·대응(EDR), 이상행위 탐지 구축, AI 기반 분석체계 고도화도 함께 추진 중이다. 생성형 AI 활용 과정에서 발생할 수 있는 정보유출과 오남용 위험을 지속 점검하고, 향후 AI 기반 보안관제와 AI 레드티밍 공격 시뮬레이션을 통해 선제 대응 역량을 강화한다는 계획이다.

최근 공격 양상은 악성코드 자체보다 정상 사용자나 정상 시스템으로 위장하는 방식으로 바뀌고 있다. 개인정보 유출 사고에서도 공격자가 정상 계정을 탈취한 뒤 장기간 은닉하며 정보를 수집하는 사례가 나타나는 만큼, 단일 이벤트를 탐지하는 방식만으로는 한계가 있다는 게 정 부행장의 판단이다.

이에 농협은행은 사용자·계정·시스템의 '행위기반 분석(Behavior Analytics)'에 중점을 두고 있다. 개별 보안 이벤트만 보는 데 그치지 않고 사용자, 단말, 서버 간 연관관계를 분석해 정상 패턴에서 벗어나는 행위를 조기에 식별하는 방식이다.

정 부행장은 "향후에는 대형언어모델(LLM) 기반 보안관제를 도입해 보안 이벤트 분석, 침해사고 조사, 대응 시나리오 추천 등 관제 업무의 자동화 수준을 높일 방침"이라며 "AI를 활용한 공격이 증가하는 환경에서는 AI 기반 방어 역량 확보가 금융권 보안 수준을 좌우할 것"이라고 내다봤다.

통합 컨트롤타워로 의사결정 단축

농협은행은 CISO가 CPO, CIAP, 고객정보관리인을 함께 맡는 '통합 정보보호 컨트롤타워' 체계를 운영하고 있다. 정보보안과 개인정보보호의 경계가 흐려지는 디지털 금융 환경에서 기술적 방어와 법적 규제 대응을 분리하지 않고 한 축에서 관리하기 위한 구조다.

정 부행장은 통합 체계가 위기 상황에서 의사결정 속도를 높이는 데 강점이 있다고 설명했다. 사이버 침해 시도나 고객정보 관련 이슈가 발생했을 때 부서 간 권한 조정이나 보고 지연 없이 단일 컨트롤타워에서 즉각적이고 일관된 판단을 내릴 수 있다는 것이다. 보안 사고 대응의 핵심인 초동 대처 시간을 줄이는 데도 도움이 된다.

통합 구조는 리스크를 바라보는 시야를 넓히는 효과도 있다. 정보보안은 IT 인프라와 기술적 방어를 중심으로 움직이고, 개인정보보호는 법규와 컴플라이언스 대응이 핵심이다. 정 부행장은 "두 영역을 한 책임자가 총괄하면 시스템 취약점과 법률 리스크를 함께 검토할 수 있어 사각지대 없는 선제적 리스크 통제가 가능하다"고 말했다.

예산과 인력 배분 측면에서도 효율성이 높아진다. 보안 아키텍처를 설계하고 관련 투자를 집행할 때 정보보안과 개인정보보호 부서가 동일한 목표 아래 움직이면 중복 투자를 줄이고 실행력을 높일 수 있다는 설명이다. 농협은행은 중장기 정보보호 전략인 'LINK 2028' 추진 과정에서도 이 같은 통합 관리 체계를 활용하고 있다.

지역·해외법인까지 중앙 통제

농협은행은 지역과 해외법인까지 중앙 통제를 적용하는 보안관리 체계를 운영 중이다. 중앙집권형 보안관리에서 중점적으로 보는 영역은 계정 및 권한관리(IAM), 보안관제(SOC), 취약점 관리, 침해사고 대응체계다.

정 부행장은 "금융당국이 자율보안체계 전환을 추진하는 흐름에 맞춰 개별 시스템 중심 관리에서 핵심 자산과 위험 중심의 관리체계로 전환하고 있다"고 밝혔다. 이를 위해 농협은행은 전 조직에 동일한 보안정책과 통제수준을 적용하고 있다. 표준 보안정책, 통합 모니터링 체계, 정기 점검·평가 체계를 통해 중요 보안 이벤트와 위협정보를 통합 관리한다.

향후에는 AI, 클라우드, 서비스형 소프트웨어(SaaS) 활용 증가에 맞춰 정보자산 식별부터 권한관리, 모니터링까지 전 과정을 통합 관리하는 체계로 발전시킬 계획이다.

개인정보 보호와 내부통제도 핵심 점검 대상이다. 최근 개인정보 유출 사고의 원인으로 외부 공격뿐 아니라 계정 오남용, 과도한 권한 부여, 내부통제 미흡 등이 지적되고 있어서다.

농협은행은 최소권한 원칙(Least Privilege)에 따라 업무 수행에 필요한 범위 안에서만 권한을 부여하고, 정기 권한 점검과 퇴직·이동자 권한 회수, 특권계정 통제, 중요정보 접근 모니터링, 이상행위 탐지를 운영하고 있다. 개인정보 대량조회와 반출 행위는 별도 모니터링 체계로 집중 관리한다.

LINK 2028로 보호문화 내재화

농협은행은 올해부터 2028년까지 3년간 중장기 정보보호 마스터플랜 'LINK 2028'을 추진한다. 목표는 '혁신과 신뢰를 연결해 미래를 여는 디지털 뱅크'다. LINK 2028은 ▲디지털 혁신 선도 ▲통합적 거버넌스 ▲능동적 위협 제거 ▲고객 신뢰 제고 등 4대 추진 전략 아래 총 16개 과제로 구성됐다.

농협은행은 이 가운데 정보보호 체계 구축, 전 임직원 참여형 보호 문화 정착, 법규 준수를 통한 윤리경영 실천을 우선 과제로 두고 있다. 정보보호를 특정 기술 영역에 한정하지 않고 전사 관리 체계로 확장하고, 임직원 개개인의 보안 의식이 고객정보 보호의 기반이 되도록 조직문화를 바꿔가겠다는 구상이다.

정 부행장은 "AI는 금융산업의 혁신을 가속하는 핵심 기술이지만 동시에 공격자의 역량 또한 과거와 비교할 수 없을 정도로 향상시키고 있다"며 "금융보안은 단순히 사고를 막는 지원 기능이 아니라 고객 신뢰를 지키고 디지털 혁신을 가능하게 하는 핵심 경쟁력"이라고 말했다.

이어 "생성형 AI와 AI 에이전트가 확산하는 환경에서는 보안을 사후 대응이 아닌 설계 단계부터 내재화하는 'Secure-by-Design' 접근이 더 중요해질 것"이라며 "농협은행은 금융당국의 자율보안체계 방향에 맞춰 AI 활용과 혁신을 지원하는 동시에 고객 정보와 금융시스템의 안전성을 최우선 가치로 두고, 선제적이고 책임 있는 보안체계를 지속 강화하겠다"고 강조했다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com