[디지털데일리 김보민기자] 금융권 침해사고 대응 능력을 높일 훈련 플랫폼이 내년부터 운영된다. 금융회사는 플랫폼을 활용해 서버해킹부터 악성메일까지 주요 사이버 위협 대응 훈련을 시행할 수 있다.

김건홍 금융보안원 수석은 28일 서울 영등포구 금융투자협회에서 열린 '금융권 소프트웨어(SW)공급망 보안 강화 전략 세미나' 무대에 올라 침해대응 훈련 플랫폼 '캣츠(CATS·Cyber Automated Training System)'를 소개했다. 김 수석은 "(절차가) 완료되면 정식 훈련인 3월부터 10월까지 서비스를 운영할 것"이라고 밝혔다.

침해대응 훈련 플랫폼은 외부 침입사고에 대한 금융권 대응 능력을 제고하자는 취지로 개발됐다. 그간 국내 금융권은 대규모 전산사고를 계기로 컴플라이언스 기반 보안체계에 의지해왔는데, 사이버 공격 난도가 높아지면서 자체적인 방어 전략을 세우는 것이 중요해졌다. 올 초부터 개발된 이번 플랫폼은 금융회사가 훈련 대상부터 규모, 날짜까지 선택해 자체 보안 체계를 점검하도록 돕는다.

플랫폼에서 시험해 볼 수 있는 훈련으로는 서버해킹과 악성메일 대응이 있다. 김 수석은 "자체 훈련으로 실시가 가능하며 신청 일자와 회차도 광범위하게 선택이 가능하다"고 설명했다. 대의원사의 경우 기존 3회에서 9회로, 일반사원사의 경우 기존 1회에서 3회로 회차가 늘었다.

서버해킹 대응 훈련의 경우 대상, 신청, 현황, 결과 등 네 가지 절차를 거친다. 기존에는 레그테크시스템을 통해 개별로 대상을 하나씩 등록해야 했지만, 훈련 플랫폼에서는 대상 목록을 미리 올려둘 수 있다. 훈련대상 신청을 누르고 그룹명을 지정한 다음, 공격대상을 추가할 수도 있다. 훈련 일시를 선택한 뒤에는 대상별 콘텐츠 지정도 가능하다. 이 과정에서 웹서버취약점 등 공격 기법이 담긴 콘텐츠 서버를 지정하거나 자동으로 배치되도록 설정할 수도 있다. 악성메일 대응 훈련은 메일 유형, 도메인, 대상자, 신청, 사전 테스트, 현황, 결과 등의 순서로 진행된다.

금융보안원은 내년 1월 훈련 플랫폼 사용자 매뉴얼을 배포하고, 2월 중 가입 및 훈련 신청일을 지정한다. 아울러 내년 1월 침해사고 대응훈련 수요조사를 실시할 예정이다.

김 수석은 캣츠 플랫폼을 고양이에 비유하며, 금융권 대응 역량을 높이는 데 기여할 것으로 내다봤다. 그는 "고양이는 곳간에 침입하는 쥐를 잡기 위해 사람들과 함께한 동물"이라며 "캣츠 플랫폼 또한 금융회사를 겨냥한 침입자를 막는 역할로 활용되기를 바란다"고 말했다.