금융 서비스 운영의 탄력성 구축: 당신의 배는 항해에 적합한가?

셸비 플로라는 최근 미국과 영국 금융 서비스 회사 이사회에 소속된 여러 비상임 이사들에게 간단한 질문을 던졌습니다.

기관 중 복구 환경을 더 자주 테스트하거나 네트워크 전반의 가시성을 개선하기 위해 이사회에 와서 자금을 요구한 적이 있나요?

그들 모두 거절했다.

액센추어 시큐리티의 매니징 디렉터이자 UKIA 금융 서비스 보안 책임자인 플로라가 최근 금융 서비스 보안 리더들을 대상으로 한 보안 인식 특별 관심 그룹 (SASIG) 웨비나가 끝날 무렵 이 대화를 공유했어요. 감독들한테도 위협 환경이 얼마나 빨리 변하고 있는지 걱정하는지 물었대요. 모두 "예"라고 대답했습니다. 그녀가 최고운영책임자가 주도하는 회복력 강화 계획을 지지할 것인지 묻자, 그들은 다시 한번 그렇다고 대답했다.

그 거래는 오늘날 금융 부문의 전반적인 상황을 잘 보여줍니다. 은행과 보험사들은 수년간 운영 탄력성 체계를 구축해 왔으며, 적어도 일부 이사회는 다음 단계에 필요한 자금을 지원할 준비가 된 것으로 보입니다. 빠진 것은 공격자가 침입한 후에도 해당 계획이 유효할 것이라는 증거가 뒷받침된 요청입니다. 그 증거는 세 가지 습관에서 비롯돼요. 공격을 억제할 수 있을 만큼 종속성을 잘 매핑하고, 사이버 복원력 테스트를 일상적인 훈련으로 실행하고, 최고운영책임자 (COO) 가 있는 명확한 계획을 이사회에 제시하는 거죠.

훌륭한 문서 관리가 은행을 존속시키는 것은 아닙니다.

문서화는 중요합니다. 위협 주도 테스트부터 중요 비즈니스 서비스에 대한 푸르덴셜 규제 당국 (PRA) 의 기대치에 이르기까지 은행이 답변하는 모든 프레임워크의 기반이에요.

문제는 문서에는 누군가가 설계한 환경이 설명되어 있는 반면, 공격자는 현재 존재하는 환경을 통해 공격한다는 점입니다.

시간이 흐르면서 두 그림은 서로 멀어진다. 대부분의 은행 환경은 수십 년에 걸친 프로젝트, 인수 및 임시방편적인 해결책을 통해 성장해 왔으며, 모든 변화는 복잡성을 더합니다.

복잡성은 틈새를 만들어내고, 공격자는 바로 그 틈새를 통해 상위 환경이나 다른 환경으로 이동할 방법을 찾습니다. 영란은행 (BoE) 의 CBEST 주제별 조사 결과에서도 해마다 같은 약점이 부각되고 있어요. 일루미오가 2025년 CBEST 보고서를 분석하면서 그 패턴을 풀었죠.

복잡성은 최악의 날에 어떤 일이 벌어지는지에도 영향을 미칩니다. 실시간 사고 중에 팀들은 종속성이 완전히 이해되지 않고 가시성이 떨어지고 런북이 네트워크와 일치하지 않을 수 있는 " Forg of War " 속에서 작업해요. 그 불확실성으로 인해 대응자들이 격리 조치가 공격 자체보다 더 큰 혼란을 야기할 수 있다고 걱정하는 곳에서 망설이게 돼요.

냉정하게 되돌아보면, 옳은 결정은 종종 명백해 보인다. 순간적인 지연은 공격자에게 확산에 필요한 시간을 줄 수 있습니다.

금융 서비스 사이버 복원력을 위한 해상 환경에 적합한 프레임워크

사회자가 어떤 투자를 우선시해야 하는지 묻자 플로라는 미주리에서 보낸 어린 시절을 떠올리며 주말이면 호수에서 보트를 타곤 했다고 말했다. 그녀는 배를 운전하는 법을 배우는 것은 안전 점검에서 시작해서 결코 끝나지 않는다고 말했습니다. 훌륭한 선장은 계속해서 배를 점검하고 수리하고 업그레이드하기 때문입니다.

그녀의 비유는 CISO를 위한 체크리스트 역할도 겸한다.

부두를 떠나기 전에 안전 점검을 실시하십시오.

모든 여정은 눈에 띄는 누수 지점을 찾는 것으로 시작됩니다. 보안 측면에서 말하자면, 심각하거나 심각한 취약점이 남지 않고 강력한 코어 컨트롤과 꾸준한 패치를 의미해요. 이는 또한 수명이 다한 기술에 대해 단호한 입장을 취해야 함을 의미합니다.

플로라는 공격자들이 여전히 레거시 소프트웨어의 오래된 취약점을 많이 이용한다고 지적했는데, 이는 패치가 되지 않은 오래된 취약점이 새로운 취약점보다 악용하기 쉽기 때문이다. 지원되지 않는 시스템은 모두 시스템 종료를 위한 자금 확보 계획을 세워야 합니다.

선체에 숨겨진 누수 지점을 점검하십시오.

효과적인 유지보수는 취약점을 파악하는 것에서 시작됩니다. 이는 어떤 시스템들이 서로 통신하는지, 그리고 무엇이 무엇에 의존하는지를 파악하는 것을 의미합니다. 핵심 시스템은 대개 잘 알려져 있지만, 그 이면에는 예상치 못한 상호 의존 관계가 숨어 있는 경우가 많습니다.

제3자 역시 동일한 수준의 검토를 받아야 합니다. 공급업체가 어떤 접근 권한을 가지고 있는지, 그 접근 권한이 어디에 사용되는지, 그리고 그 시스템에 무엇이 의존하는지를 알면 공급업체 침해가 발생하기 전에 그 파급 효과를 예측할 수 있습니다. 같은 맵에서 일반 교통이 어떻게 보이는지 보여줘서 팀원들이 측면 움직임을 조기에 발견할 수 있어요.

현대적인 재료로 구멍을 막으세요

덕트 테이프는 선체를 오랫동안 고정시켜주지는 못합니다. 많은 은행들이 네트워크 토폴로지를 중심으로 세그멘테이션을 구축해서 영역 사이에 설치된 방화벽을 통해 트래픽을 강제로 통과시켰어요. 방화벽이 여전히 주요 경계에서 중요한 역할을 하고 있는데 방화벽을 광범위한 내부 세분화로 확장하면 자본 비용과 운영 비용이 빠르게 상승해요.

마이크로세그멘테이션은 필요한 곳에, 워크로드 자체에 가까운 정책을 적용하기 때문에 공격자가 이동할 수 있는 거리를 제한하는 것이 실용적이에요. 또한 현대적인 개발에도 적합합니다. 팀에서 세분화 정책을 코드로 작성하고 CI/CD 파이프라인을 통해 배포할 수 있어 첫날부터 보안이 내장된 새 애플리케이션이 출시될 수 있어요.

썩은 나무를 강철로 교체하세요

일부 수리에는 재조립이 필요합니다. 영국 중앙은행은 고액 파운드화 결제를 처리하는 실시간 총액결제 서비스를 개편하는 데 수년을 투자했습니다. 이는 핵심 인프라를 의도적으로 업그레이드하는 것이 어떤 모습인지 보여줍니다.

그런 프로젝트는 시간과 비용이 들지만, 전체 시스템을 더욱 강화시켜 줍니다. 각 기관은 핵심 거래에 사용되는 노후화된 플랫폼 중 어떤 플랫폼이 동일한 조치를 받을 준비가 되었는지 결정해야 합니다.

구명보트 사용이 완전히 익숙해질 때까지 연습하세요.

아무리 잘 관리된 배라도 물이 들어올 수 있으므로 구명정은 제 역할을 해야 합니다. 은행의 경우 구명정은 복구 환경이고 휴면 상태에서 빨리 시동을 걸어야 도움이 돼요.

바로 이런 점에서 사이버 복원력 테스트의 진가가 드러납니다. 플로라가 대형 다국적 기관에 2주에 한 번씩 격리 및 복구 검사를 하라고 조언했는데, 그 기관에서 두 달에 한 번씩 검사를 하라고 했대요.

그녀의 추론은 간단했어요. 기술 환경은 매일 변하고 위협 환경도 그에 따라 변해요. 그녀는 또한 새로운 취약점을 발견하고 처음으로 악용 사례가 확인되기까지 걸리는 시간이 2018년의 2년 이상에서 며칠로 줄어들었다고 추정했어요.

테스트는 종종 부담스럽게 들리지만, 상당 부분은 자동화할 수 있습니다. 제어 장치가 제대로 작동하는지 확인하는 검사는 자동으로 실행될 수 있으므로, 담당자들이 결정을 미리 연습할 시간을 확보할 수 있습니다.

리허설은 보안팀을 넘어 경영진까지, 그리고 시나리오 연습에 참여하고 싶은 이사회 구성원들에게까지 이어져야 해요. 목표는 근육 기억력이에요. 그래서 일년 중 최악의 날에 사고 대응 계획을 처음으로 읽는 사람은 아무도 없어요.

수위가 높아지면 누가 키를 잡을지 결정하세요

시스템이 승인을 기다리지 않고 중요 자산을 격리하는 자동 격리는 매력적인 목표예요.

AI 기반 추천은 계속 개선되고, 신뢰도 점수는 응답자들이 더 빠르고 정확한 정보에 입각한 선택을 하는 데 도움이 돼요. 하지만 현재로서는, 특히 하루의 실수가 경제 전반에 파급 효과를 미칠 수 있는 분야에서는, 사람의 개입이 여전히 중요합니다.

자동화로 나아가기 위해서는 두 가지 측면에서 노력이 필요합니다.

• 기술적인 작업. 정책적 통제가 가능한 경우에만 문제 확산을 막을 수 있습니다. 인수합병을 통해 구축된 환경은 종종 적절한 위치에 집행 근거가 부족합니다.
• 통치 업무. 최고운영책임자, 최고리스크책임자, 리스크 위원회 및 규제 당국은 어떤 대응이 적절하며 누가 최종 결정을 내릴지에 대해 사전에 합의해야 합니다.

가정 위반 사고방식에서 시작하는 것도 도움이 돼요. 일루미오의 저명한 솔루션 설계자인 러셀 굿윈이 말했듯이, 중요한 시스템도 손상될 수 있기 때문에 모든 계획은 공격자가 다음에 어디로 갈 수 있는지를 설명해야 해요.

플로라의 경험에 따르면 AI 가속 공격에 대비하기 위해 가장 빠르게 움직이고 있는 기관이 COO가 노력을 주도하는 기관이에요. COO가 위험, 기술, 보안을 함께 감독하기 때문에 CIO, CTO, CISO, 커뮤니케이션 리더가 한 팀으로 일할 수 있는 길을 열어줘요.

플로라가 사고 중에 과한 의사소통 같은 건 없다고 덧붙였어요. 최악의 결과는 대개 어떤 결정을 내려야 하고 누가 그 결정에 대한 책임을 져야 하는지에 대한 혼란에서 비롯됩니다.

실용주의가 그 팀을 계속 앞으로 나아가게 한다. 중요한 비즈니스 서비스부터 시작한 다음 범죄 집단과 국가 행위자가 공격할 가능성이 가장 높은 방식에 대한 위협 주도형 뷰를 추가하세요.

아키텍처 팀은 새로운 접근 방식에 대해 신중할 수 있으므로, 제한된 환경에서의 시범 운영을 통해 규모를 확장하기 전에 통제 및 의무 사항을 검증할 수 있습니다. 모든 것을 한꺼번에 보호하려고 하면 프로그램이 분석 마비에 빠져 작동이 멈춥니다.

운영 회복력은 상황이 안정될 때까지 기다려주지 않습니다.

프론티어 AI 모델이 사이버 공격의 경제학을 바꾸고 있어요. 취약점을 찾아내고 악용하는 데 필요한 시간과 기술이 계속해서 떨어지고 있으므로, 침입 속도는 더욱 빨라질 것입니다. 머신 스피드에서의 복구가 금융기관들이 지켜야 할 표준이 빠르게 자리잡고 있어요.

플로라가 이야기를 나눈 이사들은 이미 우려를 표명했고, 최고운영책임자(COO)가 주도하는 계획을 지지할 준비가 되어 있습니다. 그들은 누군가가 물어봐 주기를 기다리고 있어요. 의존 관계에 대한 명확한 지도와 빈번하고 현실적인 테스트 기록을 갖춘 CISO는 증거를 제시하며 해당 요청을 할 수 있습니다. 그들이 빨리 행동할수록, 서류상의 계획은 물이 차오르기 시작할 때에도 가라앉지 않고 떠 있을 수 있는 배가 될 가능성이 더 커집니다.

시청하기 SASIG 웨비나 전체 영상 요청 시. 방법을 알아보세요 금융기관 Illumio로 보안 침해를 억제하고 운영 탄력성을 강화할 수 있어요.