금융보안원은 IT 환경 변화에 대응해 2026년도 취약점 분석·평가기준을 개정했다. 전자금융기반시설에 대한 평가체계를 손질하고, 가상자산 거래소를 대상으로 한 별도 평가기준을 신설한 점이 주요 골자다. 이 같은 내용은 지난 31일 공개됐다.
취약점 분석·평가는 금융회사의 전산시스템과 운영환경을 점검해 사이버 공격에 악용될 수 있는 위험 요소를 사전에 식별하고 개선하는 제도다. 분야별 세부 평가 항목이 제시된다. 이번 개정에서는 기존 전자금융기반시설 평가기준을 정비하고, 그동안 평가 대상에 포함되지 않았던 가상자산 거래소에 대한 기준을 새로 마련한 것이 특징이다.
전자금융기반시설 분야에서는 퍼블릭 클라우드 확산에 맞춰 ‘클라우드 관리체계’ 분야가 신설됐다. 가상화 기술 도입 다양성을 반영해 ‘OS·컨테이너 가상화시스템’ 분야의 평가 대상을 확대하고, 보안 패치 지원이 종료된 시스템과 장비에 대한 위험 관리 기준도 강화했다. 전자금융감독규정 개정 내용을 ‘정보보호 관리체계’ 분야에 반영했으며, 기존 ‘서버’ 분야는 운영체제와 미들웨어로 분리해 점검 기준의 정합성과 실효성을 높였다.
가상자산의 제도권 진입과 시장 확대를 고려해 가상자산 거래소 전용 평가기준도 도입됐다. 금융회사와 달리 클라우드 기반 인프라를 주로 활용하고 핫월렛 탈취 등 특유의 보안 위협에 노출된 점을 반영했다. 새로 도입된 분야는 ‘가상자산 컴플라이언스’, ‘블록체인’, ‘월렛’, ‘스마트 컨트랙트’로, 가상자산 운영·관리·활용 전반의 보안성을 평가하도록 설계됐다.
2026년도 취약점 분석·평가기준 안내서는 금융회사에 배포되며 레그테크 홈페이지에서도 확인할 수 있다. 금융보안원장 박상원은 이번 개정이 디지털 금융 환경 변화를 반영해 평가의 실효성을 높이기 위한 것이라고 밝혔다. 아울러 평가기준을 정밀화하고 적용 대상을 확대해 해킹 사고로 이어질 취약 요소를 사전 점검하고, 금융소비자가 안전하게 서비스를 이용할 수 있는 신뢰 기반을 강화할 수 있을 것으로 기대한다고 말했다.
