제1회 은행업 정보보안 자가진단 보고서

[김의홍]

제1회 은행업 정보보안 자가진단 시리즈

업종별 정보보안 자가진단 시리즈 제1회

은행업 정보보안 자가진단 보고서

제1금융권 · 제2금융권 | 경영진 · 조직(부서) · 개인 3단계 점수형 체크리스트

---

이 보고서의 구성
• 1. 제1·제2금융권 피해 상황 (2026년 9~10월 연쇄 침해사고)
• 2. 보안 수준 현황 및 성숙도 단계
• 3. 각 은행·당국의 재발 방지 대책
• 4. 해외 사례 비교 (싱가포르·미국·영국·EU)
• 5. 은행업 자가진단 체크리스트 (3단계, 100점 환산, 등급·경고)
• 부록. 점수 기록표 · 국제기준 대응표 · 피해 대응 요령 · 참고자료

2026년 10월 9일

한국경영시스템연구원 대표 김의홍

ISO 인증 회원사 정보보안 예방 자료

핵심 요약

---

2026년 9월 말부터 10월 초까지 약 1주일 사이에 국내 시중은행·지방은행·저축은행·캐피탈 등 최소 7개 금융회사에서 개인정보가 실제로 유출되었고, 5대 시중은행과 인터넷전문은행·상호금융까지 공격 시도가 광범위하게 확인되었다.

금융당국은 AI 기반 자동화 해킹 도구가 활용되었을 가능성을 공식 언급하고, 전 금융권 약 500개사에 긴급 보안점검을 지시하였다.

구분	핵심 내용
피해 규모	개인 약 6.5만 명 이상, 법인 정보 최대 약 2,200건 (2026.10.8 공개 기준)
공격 대상	모바일뱅킹 등 핵심 거래시스템이 아닌 외곽 시스템 (대출모집인 조회·직원용 모바일·영업지원)
공격 수법	인증우회·대입 공격(크리덴셜 스터핑) 추정, 동일 공격 IP 다수 기관에서 확인
피해를 가른 요인	투자 금액이 아닌 보안 기본기 — 외부접점 관리, 다중인증, 접근통제
당국 조치	외부접근 원칙 차단, 인증·접근통제 재점검, 공동 탐지, AI 보안테스트, 제로트러스트 전환
이 보고서의 도구	경영진·조직·개인 3단계 각 20문항 100점 체크리스트, 5단계 등급과 경고 문구, 비교 기준

한 줄 결론


공격자는 가장 단단한 정문이 아니라 잊혀진 뒷문으로 들어왔다.


5대 은행이 모두 공격을 받았지만 결과가 달랐던 이유는 "얼마를 썼는가"가 아니라 "외부에 열린 문을 모두 알고,
모든 문에 이중 잠금을 했는가"였다.

자가진단 점수 해석 (한눈에 보기)

등급	점수	판정	의미 및 경고 문구
A	90 ~ 100	안전 (모범)	안정적인 보안 수준입니다. 현재 체계를 유지하고 분기 1회 재진단으로 새로운 위협에 대비하십시오.
B	80 ~ 89	양호	기본기는 갖추었으나 빈틈이 있습니다. 4점 이하 항목을 3개월 안에 보완하면 A등급에 도달할 수 있습니다.
C	70 ~ 79	주의	공격자가 노리는 약한 고리가 남아 있습니다. 자동화된 공격 도구의 탐색에 노출될 수 있으니 1개월 안에 ★ 항목부터 개선하십시오.
D	60 ~ 69	위험	[경고] 당신(귀사)의 정보는 해킹당할 가능성이 높습니다. 이번 금융권 사고와 같은 공격을 받으면 막기 어렵습니다. 1주일 안에 긴급 개선계획을 세우십시오.
E	0 ~ 59	매우 위험	[긴급 경고] 당신(귀사)의 정보는 이미 유출되었거나 언제든 해킹당할 수 있는 상태입니다. 오늘 바로 외부 노출 시스템 차단·비밀번호 변경·유출 여부 확인을 시작하십시오.

※ 핵심(★) 항목 중 하나라도 2점 이하(개인은 "아니오")이면 총점과 관계없이 최고 C등급으로 제한한다.

이번 사고에서 피해를 가른 것이 바로 이 기본 항목들이었기 때문이다.

1. 제1·제2금융권 피해 상황

---

1.1 사고 개요

2026년 9월 27일 밤 KB국민은행 직원용 모바일 업무지원시스템에 대한 외부 공격이 시작되었고,

9월 30일 신한은행이 대출 관련 서비스의 고객정보 유출을 금융당국에 신고하면서 사태가 표면화되었다.

이후 하나은행·BNK부산은행, 제2금융권의 예가람저축은행·웰컴저축은행·현대캐피탈까지 유출이 잇따라 확인되었다.

금융보안원 분석 과정에서 여러 기관 공격에 동일한 공격 IP와 유사한 수법이 확인되었고, 공격 인프라에서 중국어 기반

오픈소스 AI 자율 침투테스트 도구(ARTEX) 관련 흔적이 발견되어 경찰청이 수사 중이다.

다만 AI가 실제 공격의 어느 단계에서 어떤 역할을 했는지는 아직 확인되지 않았다.

1.2 사고 경과 (타임라인)

일자	주요 경과
9.27 (토) 밤	KB국민은행 직원용 모바일 업무지원시스템 외부 공격 시작
9.30 (화)	신한은행 유출 확인·당국 신고, 금융감독원 현장조사 착수 / KB국민은행 밤에 이상 접근 인지(공격 개시 약 68시간 후) / 예가람저축은행 서버 무단 접근 확인
10.1 (수)	하나은행, 타 기관 공격 인지 후 자체 점검 중 유출 확인·보고
10.2 (목)	KB국민·하나·BNK부산은행 유출 공개 / 금융위원회 사무처장 주재 긴급 상황대응회의, 공격정보·보안점검 체크리스트 전 금융권 배포
10.3 (금)	웰컴저축은행 법인고객 정보 유출 확인 / 현대캐피탈 대출모집인 정보 유출 확인
10.4 (토)	금융위원장 주재 전 금융권 긴급 점검회의 (과기정통부·개인정보위·경찰청 참석) / 대통령, 철저한 조사·대책 지시
10.6 ~ 10.8	은행·카드사(10.6), 증권·보험·저축은행·전자금융업자(10.8) 긴급 점검 기한 / 인터넷전문은행 3사에도 동일 IP 접근 시도 확인(차단)

자료: 금융위원회 보도자료(2026.10.2, 10.4), 각 사 홈페이지 공지 종합

1.3 기관별 피해 현황

기관	업권	피해 규모	유출 항목	공격 대상 시스템
신한은행	제1금융	약 25,000명	고객명·전화번호·연계정보(CI)·연소득·대출 산출한도 등 (주민번호 66건 포함)	대출모집인용 간편조회 서비스
KB국민은행	제1금융	119명	고객명·전화번호·주소·암호화된 주민번호 등	직원용 모바일 업무지원시스템
하나은행	제1금융	89명	주민번호·성명·주소·이메일·전화번호·직장명	영업지원시스템(ODS)
BNK부산은행	제1금융(지방)	11건	외주 직원 개인정보	외부 노출 업무 시스템
예가람저축은행	제2금융	약 40,000명	성명·생년월일·연락처	외부에 노출된 서버
웰컴저축은행	제2금융	최대 약 2,200건(법인)	법인명·담당자명·이메일·전화번호	법인고객 관련 시스템
현대캐피탈	제2금융(여전)	146명	주택대출 모집인 개인정보	모집인 관련 시스템

자료: 각 사 공지 및 금융당국 발표 종합(2026.10.8 기준). 조사 결과에 따라 수치가 바뀔 수 있음.

공격은 받았으나 피해가 확인되지 않은 기관

기관	확인 내용 (10.8 기준)
우리은행 · NH농협은행	외부 해킹 시도 확인, 자체 침입방지 체계 작동으로 유출 미확인
새마을금고중앙회	신한은행 공격과 동일한 IP의 접근을 보안장비가 차단
카카오뱅크 · 케이뱅크 · 토스뱅크	동일 공격 IP가 올해 1월부터 수차례 접근 시도, 탐지·차단으로 피해 없음
증권 · 보험 · 카드	탐색(스캐닝) 등 공격 시도 정황, 피해 신고 없음
IBK기업은행 · 국책은행	동일 공격 흔적 미확인(10.4 당국 점검 시점)
신협 등 상호금융 단위조합	공개된 피해 사실 없음 — 다만 점검 결과 공개 전이므로 자체 점검 필수

정확한 이해를 위한 주의
"모든 금융권이 해킹당했다"는 표현은 사실과 다르다. 정확히는 모든 업권이 공격 대상이 되었고, 일부 기관이 뚫렸다.
같은 공격을 받고도 막아낸 기관이 있다는 사실이 이 보고서의 체크리스트가 존재하는 이유다.

1.4 반복되는 금융권 침해사고 — 이번이 처음이 아니다

시기	사고	교훈
2025.7	SGI서울보증 랜섬웨어	서비스 중단이 곧 고객 불편 — 백업·복구 체계가 핵심
2025.8~9	롯데카드 해킹 (약 297만 명)	보안패치 미적용 취약점으로 침투, ISMS-P 인증 직후 사고 — 인증은 안전 보증이 아님
2025.9	웰컴금융그룹 침해	그룹 계열사 간 보안 수준 격차가 약한 고리
2026	롯데카드 제재	해킹 사고 사유 첫 업무정지(1.5개월)·과징금 50억 원 — 결과 책임 시대
2026.9~10	은행·저축은행·캐피탈 연쇄 침해	외곽 시스템·인증우회·자동화(AI) 공격 — 외부접점 전수관리 필요

자료: 금융위원회 발표 종합. 금융감독원이 국회에 제출한 자료에 따르면 2024.1~2026.8 보고된 사이버 침해사고는 금융권 14건,

전자금융업권 22건으로 총 36건이며, 금융권 중 은행이 6건으로 가장 많았다.

2. 보안 수준 현황 및 단계

---

2.1 투자 규모는 비슷했다 — 결과를 가른 것은 기본기

한국인터넷진흥원(KISA) 정보보호 공시에 따른 2025년 주요 시중은행의 정보보호 투자액은 아래와 같이 큰 차이가 없다.

그러나 이번 공격에서 결과는 엇갈렸다. 투자 총액보다 외부에 열린 시스템을 어떻게 관리했는가가 피해를 갈랐다.

은행	정보보호 투자(2025)	이번 공격 결과
KB국민은행	433억 원	유출 발생 (119명) — 직원용 모바일 시스템
하나은행	372억 원	유출 발생 (89명) — 영업지원시스템
신한은행	369억 원	유출 발생 (약 2.5만 명) — 대출모집인 조회 서비스
우리은행	364억 원	공격 차단, 유출 미확인

자료: KISA 정보보호 공시(2025년 기준), 금융당국 발표. 투자 규모의 대소가 보안 수준을 그대로 의미하지 않음을 보여주는 비교임.

2.2 이번 사고에서 드러난 5대 취약 유형

No	취약 유형	내용	체크리스트 반영
1	외곽 시스템 방치	대출모집인·직원 모바일·위성 사이트 등 핵심 거래망 밖의 시스템이 외부에 열려 있음	경영진 5·6 / 조직 1·2·4
2	인증우회	로그인·본인인증 절차를 건너뛰고 데이터 화면에 직접 접근 가능 (2024년 당국 점검 요청 후에도 재발)	조직 6
3	대입 공격(크리덴셜 스터핑)	다른 곳에서 유출된 계정·번호를 자동으로 반복 입력	조직 7 / 개인 1·2
4	대량 조회 미통제	짧은 시간에 수만 건 조회가 가능한 구조	조직 10·11
5	탐지 지연	공격 개시 후 인지까지 약 68시간 소요 사례	조직 13·14

2.3 보안 성숙도 5단계 모델

이 시리즈는 모든 업종에 동일하게 적용할 수 있도록 다음 5단계 성숙도 모델을 사용한다. 자가진단 점수(100점)와 직접 연결된다.

단계	명칭	점수	특징
5단계	최적화	90 이상	위협정보 기반 상시 개선, 자동화 탐지·차단, 독립 모의해킹 정례화
4단계	관리	80~89	전 구간 다중인증, 외부자산 상시 목록화, 관제·대응 절차 운영
3단계	정의	70~79	규정·절차는 갖췄으나 외곽 시스템·위탁업체에 공백 존재
2단계	반복	60~69	사고 후 대응 중심, 담당자 역량에 의존, 증빙 부족
1단계	초기	60 미만	보안 책임자·예산·자산목록 부재, 사고 인지 자체가 늦음

2.4 업권별 현재 수준 진단 (필자 의견)

업권	추정 단계	진단 근거
시중은행 (5대)	3~4단계	핵심 거래망은 4단계 이상이나, 외곽 시스템은 2단계 수준으로 편차가 큼
인터넷전문은행	4단계	수개월간 반복된 동일 IP 접근을 탐지·차단, 클라우드·제로트러스트 기반 설계
지방은행	3단계	외주 인력 관련 시스템에서 유출, 위탁 관리 보완 필요
저축은행 · 캐피탈	2~3단계	외부 노출 서버에서 대규모 유출, 전담 인력·예산 한계
상호금융 단위조합 (신협·새마을금고 등)	2~3단계	중앙회는 차단 성공, 단위조합은 인력 부족으로 중앙회 의존도가 높음

※ 공개 사고 정보와 대응 결과를 바탕으로 한 필자의 정성 진단이며, 공식 평가 등급이 아니다.

ISO시스템전문가 코멘트


26년간 현장 심사를 하면서 가장 자주 본 장면은 "본사 핵심 서버는 완벽한데, 영업 지원용으로 급히 만든 작은 시스템이 아무도 관리하지
않는 상태"였다. 이번 사고가 정확히 그 지점에서 일어났다.


ISO 27001 인증이나 ISMS-P 인증은 관리체계가 있다는 증명이지 해킹이 불가능하다는 보증이 아니다. 인증 범위 밖에 있는 시스템, 범위 안이지만 형식적으로만 점검된 시스템이 공격자의 입구가 된다. 자가진단은 "인증서가 있는가"가 아니라 "지금 이 순간 열려 있는 문이 몇 개인가"를 묻는 것부터 시작해야 한다.
한국경영시스템연구원 대표 김의홍

3. 각 은행의 재발 방지 대책

---

3.1 피해 기관의 즉시 조치

기관	긴급 조치	재발 방지·고객 보호
신한은행	전사 비상대응체계 가동 외부 IP 차단·관련 서비스 중단 보안 정책 신규 적용	피해 발생 시 전액 보상 개인신용정보 보호체계 원점 재점검 업무 프로세스 개선·임직원 교육 강화
KB국민은행	인지 즉시 해당 서버·접근경로 원천 차단 전사 비상대응체계 가동	유출 고객 개별 통지·2차 피해 안내 전담 상담센터 운영, 피해 전액 보상 관련 프로세스 원점 점검
하나은행	타 기관 사고 인지 즉시 자체 점검 당국 보고·전사 비상대응	해당 시스템 접근 차단 고객 통지 및 보호 조치
예가람저축은행	대표 명의 홈페이지 사과·통지	유출 고객 안내 및 2차 피해 예방
은행권 공통	보안이 취약한 위성 사이트 운영 중단 공유된 공격 IP 일괄 차단	외부접근 경로 전수 재점검 CISO 협의체 위협정보 공유

자료: 각 사 공지 및 금융당국 발표 종합

3.2 금융당국 대책 (2026.10.4 전 금융권 긴급 점검회의)

분야	주요 내용
외부접점 최소화	서비스 제공·업무 수행에 반드시 필요한 경우 외 외부접근 원칙 차단, 임직원·대출모집인·위탁업체 접근경로까지 전수 점검
인증·접근통제	인증절차 미흡 구간 재점검, 외부접근 권한 최소화, 사고 유형(3개)별 조치 이행
긴급 점검	약 500개사에 공격 IP·수법 전파, 12개 항목 긴급 점검 및 결과 보고
소비자 보호	유출 범위 신속 확인, 피해자 통지, 신속한 구제·보상, 이상금융거래 탐지(FDS)로 2차 피해 예방
공동 대응	한 회사의 사고를 금융권 전체의 경고로 — 민관 합동 공동 탐지·차단, 위협정보 즉시 공유
AI 보안 전환	AI 공격은 AI로 방어, 정부 AI 보안테스트 참여, 제로트러스트 기반 보안체계 재구축, 망분리 규제 긴급 완화·전면 해제 검토
책임 강화	공격정보를 받고도 점검을 소홀히 해 유사 사고 발생 시 법령에 따라 엄정 책임

자료: 금융위원회 보도자료 「全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다」(2026.10.4)

3.3 이미 추진 중인 제도 개선 (2025년 대책의 연장선)

• 징벌적 과징금: 중대한 보안사고 시 일반 과징금을 넘어서는 제재 (2025.9 금융위 발표)

• CEO 보안 책임 명문화: 대규모 유출 시 금융사 지배구조법에 따라 최악의 경우 CEO 해임 요구 가능 (2025.10 범정부 종합대책)

• CISO 권한 강화: 사내 자료 요구권, 독립성 보장, 보안 주요 사안 이사회 심의·의결 의무화

• 보안수준 비교 공시: 금융회사 간 보안 수준을 소비자가 비교할 수 있도록 공시 강화

• 금융보안원 지원: 외부 노출 자산을 실시간 조회하는 공격표면관리(ASM) 서비스, 금융 AI보안연구소 신설

대책에서 읽어야 할 메시지 — 중소 금융회사·일반 기업에도 그대로 적용된다
• 외부에 열린 모든 문을 목록화하고, 필요 없는 문은 닫는다.
• 남은 문에는 반드시 이중 잠금(다중인증)을 건다.
• 짧은 시간의 대량 조회는 자동으로 막고 알린다.
• 다른 회사의 사고 정보를 받으면 24시간 안에 우리 회사에 반영한다.
• 보안은 IT 부서 일이 아니라 CEO의 법적 책임이다.

4. 해외 사례 — 은행 보안 선진국 비교

---

한국 사람은 비교 대상이 있어야 수준을 체감한다.

은행 보안 규제가 가장 앞서 있다고 평가받는 싱가포르·미국(뉴욕주)·영국·유럽연합(EU)의 제도를 비교하고,

우리 은행업이 무엇을 가져와야 하는지 정리한다.

4.1 국가별 핵심 제도

국가	대표 제도	특징
싱가포르	MAS 기술리스크관리 가이드라인(TRM, 2021) 사이버 위생 고시(Notice 655, 2020 시행)	기본 보안 6개 조치를 법적 의무화: 관리자 계정 보호, 보안패치, 보안 기준선, 네트워크 경계 방어, 악성코드 방지, 다중인증 기본기 미이행은 감독 지적이 아닌 법규 위반
미국 (뉴욕주)	NYDFS 사이버보안 규정 (23 NYCRR 500, 2023 개정)	CISO의 이사회 정기 보고, 경영진 연례 준수 확인 원격접속·특권계정 등 전 구간 다중인증(2025.11 전면 시행) IT 자산 목록 유지 의무
영국	영란은행 CBEST 위협기반 모의해킹 운영복원력 규제 (2025.3 완전 시행)	실제 공격자 정보를 바탕으로 한 레드팀 침투 시험 핵심 서비스별 '최대 허용 중단 시간'을 정하고 그 안에 복구 입증
EU	디지털운영복원력법 (DORA, 2025.1 적용)	ICT 리스크 관리·사고 보고 의무, 주요 기관 3년마다 위협기반 침투시험(TLPT) 클라우드 등 핵심 ICT 제3자에 대한 직접 감독
대한민국	전자금융거래법·감독규정, 금융보안원 체계 ISMS-P 인증	세계 최고 수준의 망분리 규제 → AI 활용 위해 완화 추진 중 징벌적 과징금·CEO 책임 명문화 추진 위협정보 공유는 사고 후 신속하나 사전 위협기반 시험은 확대 단계

4.2 항목별 비교 — 한국은 어디쯤인가

비교 항목	싱가포르	미국(NY)	영국	EU	한국
기본 보안조치 법적 의무화	◎	◎	○	◎	○
전 구간 다중인증 의무	◎	◎	○	○	△
외부 노출 자산 목록 의무	○	◎	○	◎	△
위협기반 모의해킹 정례화	○	○	◎	◎	△
경영진·이사회 책임	◎	◎	◎	◎	○ (강화 중)
복원력(복구 시간) 입증	○	○	◎	◎	△
위탁·제3자 보안 관리	◎	○	○	◎	○

◎ 법적 의무·정례화 ○ 제도 있음 △ 권고·부분 적용 (각국 공개 규정을 바탕으로 필자가 비교·평가한 것임)

4.3 숫자로 보는 글로벌 비교

지표	수치	의미
전 세계 평균 침해 비용	444만 달러	약 60억 원 수준 (2025)
금융업 평균 침해 비용	556만 달러	전 산업 평균보다 약 25% 높음, 의료업 다음 2위
금융업 평균 탐지 기간	157일	공격자는 평균 5개월 이상 머문다
금융업 평균 봉쇄 기간	45일	탐지 후에도 한 달 반
AI·자동화 보안 적극 활용 시 절감액	190만 달러	AI 방어가 비용을 실질적으로 줄임

자료: IBM, Cost of a Data Breach Report 2025 (금융업 분석 포함)

해외 사례가 주는 3가지 교훈


• 싱가포르식 "기본기 의무화": 다중인증·패치·관리자 계정 보호 같은 기본기는 선택이 아니라 법이다. 이번 사고의 피해를 가른 것도 기본기였다.


• 미국식 "자산 목록과 경영진 서명": 경영진이 매년 "우리 회사의 외부 노출 자산과 통제 현황을 확인했다"고 서명한다. 아무도 모르는 시스템이 생길 수 없다.


• 영국·EU식 "실전 시험과 복구 시간": 실제 공격자처럼 시험하고, 뚫렸을 때 몇 시간 안에 복구하는지 입증한다.

5. 은행업 정보보안 자가진단 체크리스트

---

5.1 사용 방법

진단 단계	진단 대상	활용 방법
① 경영진	대표이사·임원·이사회·CISO	경영진이 직접 체크, 분기 1회 이사회 보고 자료로 활용
② 조직(부서)	IT·정보보호·영업지원·위탁관리 부서	부서장이 증빙을 확인하며 체크, 약점 항목은 개선 과제로 등록
③ 개인	임직원 및 금융 고객 개인	누구나 5분 내 체크, 사내 교육·고객 안내문으로 배포

채점 기준 — 경영진·조직(부서): 문항당 0~5점

점수	수준	판단 기준
0	없음	미수립 또는 현황을 모름
1	인식	필요성은 알지만 계획이 없음
2	일부	계획이 있고 일부만 시행
3	정의	문서화되어 대부분 시행
4	운영	전면 시행, 기록·증빙 보유
5	최적	전면 시행 + 정기 검증·개선, 외부에 증빙 제시 가능

채점 기준 — 개인: 문항당 예 5점 / 일부 2점 / 아니오 0점

핵심(★) 항목 하향 규칙
★ 표시 항목 중 하나라도 2점 이하(개인은 "아니오")이면, 총점이 높더라도 최종 등급은 최대 C등급으로 제한한다. 이번 사고에서 피해 여부를 가른 다중인증·외부접점 관리·대량조회 통제 등이 ★ 항목이다.

5.2 [1단계] 경영진 자가진단 (20문항 · 100점)

경영진 체크리스트

대상: 대표이사, 임원, 이사회, CISO | 각 문항 0~5점

No	점검 항목	만점(5점) 판단 기준	핵심	점수(0~5)
A. 거버넌스와 책임
1	CEO가 정보보호 최종 책임자임을 선언하고 이사회에 분기 1회 이상 보안 현황을 보고받는다	이사회 회의록에 보안 안건이 분기별로 있고, 지적사항 후속조치를 추적	★
2	CISO가 독립적으로 자료를 요구하고 이사회에 직접 보고할 권한이 있다	CISO 겸직 없음, 권한이 규정에 명시, 최근 1년 직보 실적 있음
3	정보보호 예산을 IT 예산의 7% 이상 확보하고 있다	예산서상 정보보호 예산 비율 확인, 사고 후 일회성이 아닌 지속 편성
4	보안 지표가 임원 경영평가(KPI)에 반영되어 있다	취약점 조치율·교육 이수율 등이 평가에 반영되어 보상과 연계
B. 외부접점과 리스크
5	외부에 노출된 모든 IT 자산(대출모집인·직원 모바일·위성 사이트 포함) 목록을 분기마다 승인한다	자산 목록에 책임자·용도·폐기 예정일 기재, 경영진 결재 이력 존재	★
6	"업무상 반드시 필요한 경우 외 외부접근 원칙 차단" 정책을 승인·시행했다	예외 승인 절차와 예외 목록이 있고, 예외마다 만료일이 있음	★
7	위탁업체·대출모집법인과의 계약에 보안 요구사항과 점검 권한이 포함되어 있다	계약서에 보안 조항·사고 통지 의무·감사권, 연 1회 점검 결과 보고
8	AI 기반 공격에 대한 대응 전략(AI 방어 도입·AI 보안테스트 참여)을 수립했다	전략 문서와 예산, 정부 AI 보안테스트 참여 또는 계획 보유
C. 사고 대응과 복원력
9	침해사고 시 서비스 중단·외부 공표·당국 신고의 의사결정 권한과 순서가 사전에 정해져 있다	대응 매뉴얼에 결정권자·대리인·시간 목표 명시, 연락망 최신화	★
10	경영진이 참여하는 침해사고 모의훈련을 연 2회 이상 실시한다	훈련 시나리오(유출·랜섬웨어)·결과보고·개선 이행 기록
11	고객 통지·피해 보상 기준과 전담 상담 체계가 사전에 마련되어 있다	통지 문안 템플릿, 보상 기준, 전담 상담센터 즉시 가동 계획
12	사이버 보험 또는 손실 충당 등 재무적 대비책이 있다	보장 범위가 개인정보 유출 배상·복구 비용을 포함
D. 인력과 보안 문화
13	정보보호 전담 인력이 IT 인력의 5% 이상이다	전담(겸직 제외) 인원 비율 확인, 결원 시 3개월 내 충원
14	임원 대상 보안 교육을 연 1회 이상 실시한다	최근 사고 사례 기반 교육, 임원 이수율 100%
15	보안 위반에 대한 인사 조치와 우수자 포상 기준이 운영된다	규정과 실제 적용 사례 존재
16	임직원이 보안 이상 징후를 불이익 없이 신고할 채널이 있다	신고 채널 운영, 처리 결과 회신, 연간 신고 건수 관리
E. 대외 협력과 검증
17	금융보안원 등 위협정보 공유 체계에 참여하고, 받은 정보를 24시간 내 반영한다	수신 위협정보별 반영 시간 기록, 24시간 내 반영률 90% 이상
18	정보보호 공시를 충실히 하고 고객이 이해하기 쉽게 공개한다	공시 항목 누락 없음, 점검·조치 내역 구체적 공개
19	ISO 27001·ISMS-P 인증을 유지하되 인증 범위 밖 시스템도 별도 점검한다	인증 범위와 전체 자산 목록의 차이를 파악하고 범위 밖 자산 점검 결과 보유
20	외부 독립기관의 블라인드 모의해킹 결과를 경영진이 직접 보고받는다	연 1회 이상, 외부 노출 자산 포함, 미조치 취약점 0건 목표
합 계				/ 100

★ 핵심 항목(4개): 1, 5, 6, 9번. 하나라도 2점 이하이면 총점과 관계없이 최대 C등급.

5.3 [2단계] 조직(부서) 자가진단 (20문항 · 100점)

조직(부서) 체크리스트

대상: IT·정보보호·영업지원·위탁관리 부서 | 각 문항 0~5점, 증빙 확인 후 채점

No	점검 항목	만점(5점) 판단 기준	핵심	점수(0~5)
A. 외부 노출 자산 관리
1	외부 노출 자산(도메인·IP·웹페이지·API)을 도구로 상시 탐지한다	공격표면관리(ASM) 도구 또는 금융보안원 서비스로 주 1회 이상 자동 탐지	★
2	사용하지 않는 웹페이지·이벤트·위성 사이트를 즉시 폐쇄한다	용도 종료 시 폐쇄 절차, 최근 1년 미사용 페이지 0건
3	관리자 페이지·API·개발 서버가 인터넷에 노출되어 있지 않다	외부 스캔 결과 관리자·개발 경로 노출 0건
4	직원용 모바일·영업지원 시스템은 등록된 단말과 VPN을 통해서만 접속된다	단말 인증 + 사내망 경유, 미등록 단말 접속 차단 기록
B. 인증과 접근통제
5	외부에서 접속하는 모든 시스템(고객·직원·모집인·위탁업체)에 다중인증을 적용했다	외부접점 목록 대비 다중인증 적용률 100%	★
6	인증우회 취약점(주소 직접 입력·파라미터 변조로 로그인 없이 조회)을 정기 점검한다	분기 1회 이상 점검, 신규·변경 화면은 배포 전 점검	★
7	대입 공격(크리덴셜 스터핑) 방어 기능을 갖췄다	로그인 실패 횟수 제한, 봇 탐지, 동일 IP 다계정 시도 차단
8	최소 권한 원칙과 계정 정기 검토(퇴사자·위탁 계정 즉시 회수)를 시행한다	분기별 권한 검토 기록, 퇴사·계약종료 당일 계정 회수
C. 개인정보 보호
9	주민등록번호 등 고유식별정보를 암호화하고 화면에는 마스킹한다	저장 암호화 100%, 업무상 불필요한 화면 노출 없음
10	짧은 시간의 대량 조회를 자동으로 제한·경보한다	사용자·IP별 조회 건수 임계치 설정, 초과 시 자동 차단 및 담당자 알림	★
11	개인정보 조회 이력을 기록하고 정기적으로 이상 여부를 점검한다	조회 로그 1년 이상 보관, 월 1회 이상 이상 조회 점검
12	개발·테스트 환경에서 실제 고객정보를 사용하지 않는다	가명·가상 데이터 사용, 예외 시 승인 및 사후 파기 기록
D. 탐지와 대응
13	24시간 보안관제로 이상 접근을 1시간 이내에 탐지·보고한다	관제 체계 운영, 최근 탐지 사례의 탐지 소요시간 기록 (이번 사고 사례: 약 68시간)	★
14	당국·협회가 공유한 공격 IP·수법을 24시간 내 차단 정책에 반영한다	수신 시각과 반영 시각 기록, 반영 누락 0건
15	침해사고 신고(금융감독원 등) 절차와 비상연락망을 최신으로 유지한다	분기별 연락망 점검, 신고 양식과 시간 기준 숙지
16	백업 데이터를 분리 보관하고 복구 시험을 정기적으로 한다	망 분리 백업, 반기 1회 이상 실제 복구 시험, 목표 복구시간 달성
E. 취약점과 공급망
17	외부 노출 자산을 포함한 모의해킹을 연 1회 이상(AI 기반 점검 포함) 실시한다	외부 전문기관 수행, 발견 취약점 조치 완료율 100%
18	보안패치를 위험도별 기한 내(긴급 7일 이내) 적용한다	패치 관리대장, 기한 초과 건 0건 (롯데카드 사고 원인: 패치 미적용)
19	위탁업체·대출모집법인의 보안 수준을 연 1회 이상 점검한다	점검 체크리스트·결과·개선 확인 기록, 미흡 업체 접근 제한
20	사용 중인 소프트웨어·오픈소스 구성 목록을 관리하고 취약점을 추적한다	구성 목록(SBOM) 보유, 신규 취약점 공지 시 영향 여부 48시간 내 판단
합 계				/ 100

★ 핵심 항목(5개): 1, 5, 6, 10, 13번. 각 문항의 "만점 기준"을 모두 충족하면 5점, 일부 충족 정도에 따라 0~4점을 부여한다.

5.4 [3단계] 개인 자가진단 (20문항 · 100점)

개인 체크리스트 (임직원 · 금융 고객 공통)

대상: 은행 임직원, 은행을 이용하는 모든 개인 | 예 5점 · 일부 2점 · 아니오 0점

No	점검 항목	"예"의 기준	핵심	예/일부/아니오
A. 계정과 비밀번호
1	금융 앱·인터넷뱅킹 비밀번호가 다른 사이트와 다르다	쇼핑몰·포털 등과 같은 비밀번호를 쓰지 않음 (대입 공격 차단)	★
2	금융 앱에 생체인증·OTP 등 2단계 인증을 사용한다	로그인·이체 시 비밀번호 외 추가 인증 사용	★
3	유출 통지를 받으면 즉시 비밀번호를 바꾼다	통지 당일 해당 기관 및 같은 비밀번호를 쓴 곳 모두 변경
4	이메일 계정에도 2단계 인증을 설정했다	비밀번호 재설정 메일이 가는 계정이므로 반드시 보호
B. 스마트폰과 PC
5	휴대폰·PC 운영체제와 앱을 최신 상태로 유지한다	자동 업데이트 설정 또는 1주 내 업데이트
6	금융 앱은 공식 앱스토어에서만 설치한다	문자·메신저 링크로 앱(APK)을 설치한 적 없음
7	휴대폰에 화면 잠금을 설정했다	생체·6자리 이상 비밀번호, 단순 패턴 사용 안 함
8	공용 와이파이에서 금융거래를 하지 않는다	카페·공항 등에서는 모바일 데이터 사용
C. 금융 보호 서비스
9	명의도용 방지 서비스에 가입했다	휴대폰 명의도용 방지(엠세이퍼) 등 가입
10	본인 명의 계좌·대출을 정기적으로 확인한다	계좌정보통합관리(어카운트인포)·신용정보 조회 분기 1회 이상
11	여신거래 안심차단 서비스를 신청했다	본인 모르게 대출이 실행되지 않도록 차단 신청
12	입출금·로그인 알림을 설정했다	모든 이체·해외 로그인 시 즉시 알림 수신
13	해외 결제·해외 IP 접속 차단을 설정했다	해외 이용 계획이 없을 때 차단 상태 유지
D. 피싱과 2차 피해 예방
14	출처가 불분명한 문자·메일의 링크를 누르지 않는다	"유출 확인", "보상 신청" 문자도 링크 대신 공식 앱으로 확인	★
15	"정보유출 보상"을 핑계로 한 전화·문자를 의심한다	금융회사는 전화로 비밀번호·인증번호를 요구하지 않음을 알고 있음
16	의심 연락은 금융회사 대표번호로 직접 걸어 확인한다	받은 번호로 되걸지 않고 공식 번호 사용
17	유출 통지를 받으면 카드 재발급·인증서 재발급을 검토한다	유출 항목에 따라 재발급·비밀번호 변경 실행
E. 생활 습관
18	이벤트·경품 응모 시 주민번호·계좌 정보를 제공하지 않는다	필요 최소 정보만 제공
19	피해 시 신고처(112·금융감독원 1332·KISA 118)를 알고 있다	휴대폰 연락처에 저장
20	SNS에 생년월일·직장·전화번호를 공개하지 않는다	공개 범위를 친구 이하로 제한
합 계				/ 100

★ 핵심 항목(3개): 1, 2, 14번. 하나라도 "아니오"이면 총점과 관계없이 최대 C등급.

5.5 점수 판정과 경고 문구

자가진단 등급표 (경영진 · 조직 · 개인 공통)

등급	점수	판정	의미 및 경고 문구
A	90 ~ 100	안전 (모범)	안정적인 보안 수준입니다. 현재 체계를 유지하고 분기 1회 재진단으로 새로운 위협에 대비하십시오.
B	80 ~ 89	양호	기본기는 갖추었으나 빈틈이 있습니다. 4점 이하 항목을 3개월 안에 보완하면 A등급에 도달할 수 있습니다.
C	70 ~ 79	주의	공격자가 노리는 약한 고리가 남아 있습니다. 자동화된 공격 도구의 탐색에 노출될 수 있으니 1개월 안에 ★ 항목부터 개선하십시오.
D	60 ~ 69	위험	[경고] 당신(귀사)의 정보는 해킹당할 가능성이 높습니다. 이번 금융권 사고와 같은 공격을 받으면 막기 어렵습니다. 1주일 안에 긴급 개선계획을 세우십시오.
E	0 ~ 59	매우 위험	[긴급 경고] 당신(귀사)의 정보는 이미 유출되었거나 언제든 해킹당할 수 있는 상태입니다. 오늘 바로 외부 노출 시스템 차단·비밀번호 변경·유출 여부 확인을 시작하십시오.

종합 보안지수 (기관·기업용)

종합 보안지수 = 경영진 점수 × 30% + 조직 점수 × 50% + 개인 평균 점수 × 20%
개인 평균 점수는 임직원 표본(최소 10명 또는 전 직원의 10%)의 평균을 사용한다.
예) 경영진 82점, 조직 74점, 개인 평균 68점 → 24.6 + 37.0 + 13.6 = 75.2점 (C등급, 주의)

5.6 비교 기준 — 우리 회사는 어디쯤인가

점수는 비교 대상이 있을 때 의미가 생긴다. 아래 목표 점수는 업권별 규제 수준과 이번 사고의 피해 양상을 반영하여 필자가 제시하는 권장 기준선이다.

기관 유형	권장 목표	최소 기준	근거
시중은행 · 인터넷전문은행	95점	90점	고객 수천만 명, 공격 1순위, 국제 규제 수준 충족 필요
지방은행 · 특수은행	90점	85점	지역 핵심 금융, 외주 인력 접점 많음
저축은행 · 캐피탈 · 카드	90점	80점	이번 사고에서 대규모 유출 발생 업권
상호금융 단위조합 (신협 · 새마을금고 등)	85점	75점	중앙회 의존도 높음, 단위조합별 편차 큼
대출모집법인 · 위탁업체	85점	75점	금융회사 외곽 시스템의 직접 접점
금융 고객 개인	90점	80점	★ 3개 항목은 반드시 "예"

점수와 국제 기준의 대략적 대응 (참고)

점수	성숙도	국제 기준 대응 수준
90 이상	5단계	싱가포르 사이버 위생 6개 조치 전부 충족 + 위협기반 모의해킹 정례화 (영국·EU 수준)
80~89	4단계	뉴욕주 규정의 다중인증·자산목록·이사회 보고 요건 대부분 충족
70~79	3단계	국내 규정은 형식적으로 충족, 국제 기준 대비 외곽·위탁 관리에 공백
60~69	2단계	국제 기준 기본기(다중인증·패치) 일부 미충족
60 미만	1단계	국제 기준 기본기 대부분 미충족, 사고 인지 자체가 늦음

※ 공식 인증·평가가 아닌 자가진단 결과 해석을 돕기 위한 필자의 환산 기준

5.7 등급별 개선 가이드

등급	지금 해야 할 일
A (90~)	현 수준 유지, 분기 1회 재진단 외부 독립 모의해킹으로 자가진단 결과 검증 협력사·위탁업체에 체크리스트 확산
B (80~89)	4점 이하 항목을 3개월 내 개선 과제로 등록 ★ 항목은 반드시 5점 달성 다음 분기 재진단으로 개선 확인
C (70~79)	1개월 내 ★ 항목 우선 개선 (다중인증·외부접점·대량조회) 외부 노출 자산 전수 조사 즉시 착수 경영진 보고 후 예산 확보
D (60~69)	[경고] 1주일 내 긴급 개선계획 수립 불필요한 외부접근 즉시 차단, 공유 공격 IP 차단 외부 전문기관 긴급 진단 의뢰
E (~59)	[긴급] 오늘 바로 외부 노출 시스템 점검·차단 유출 여부 확인 (조회 로그 분석) CEO 주재 비상 대책회의, 필요 시 당국 신고

부록

---

부록 A. 자가진단 점수 기록표

진단 구분	1분기	2분기	3분기	4분기	★ 항목 미달 여부
경영진 (×30%)
조직·부서 (×50%)
개인 평균 (×20%)
종합 보안지수
최종 등급

부록 B. 체크리스트와 국내외 기준 대응표

체크리스트 영역	국내 기준 (2026.10 당국 지시 등)	해외 기준
외부 노출 자산 관리	외부접근 원칙 차단, 접근경로 전수 점검	NYDFS 자산목록 / DORA ICT 자산 관리
인증·접근통제	인증절차 미흡 구간 재점검, 권한 최소화	MAS 사이버 위생(다중인증·관리자 계정) / NYDFS 전 구간 다중인증
개인정보 보호	유출 범위 신속 확인, FDS로 2차 피해 예방	DORA 데이터 보호 / NIST CSF 2.0 보호(Protect)
탐지·대응	공격 IP 공유·즉시 반영, 민관 공동 탐지	NIST CSF 2.0 탐지·대응 / DORA 사고 보고
취약점·공급망	AI 보안테스트 참여, 위탁업체 점검	CBEST·TLPT 위협기반 시험 / MAS 위탁 관리 고시
거버넌스	CEO 책임 명문화, CISO 권한 강화, 징벌적 과징금	NYDFS 경영진 연례 확인 / 영국 운영복원력

부록 C. 정보유출 통지를 받았을 때 개인 행동 요령

순서	행동
1	통지 내용으로 유출 항목 확인 (공식 앱·홈페이지에서 직접 조회, 문자 링크 사용 금지)
2	해당 금융회사 및 같은 비밀번호를 쓰는 모든 서비스의 비밀번호 변경
3	명의도용 방지·여신거래 안심차단 서비스 신청, 입출금 알림 설정
4	카드 정보 유출 시 카드 재발급 신청
5	"보상금 지급"·"피해 확인" 명목의 전화·문자는 대표번호로 역확인
6	피해 발생 시 즉시 신고: 경찰 112, 금융감독원 1332, 개인정보침해 신고센터 118

부록 D. 참고 자료

• 금융위원회 보도자료, 「全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다」, 2026.10.4

• 금융위원회, 금융권 긴급 상황대응회의 개최 자료, 2026.10.2

• 신한은행·KB국민은행·하나은행·예가람저축은행 등 각 사 정보유출 안내 공지, 2026.10

• 과학기술정보통신부·금융위원회, 해킹 대응 합동 브리핑, 2025.9.19 / 범정부 정보보호 종합대책, 2025.10.22

• 한국인터넷진흥원(KISA), 정보보호 공시 (2025년 기준)

• 금융감독원, 금융권 사이버 침해사고 현황 (2024.1~2026.8, 국회 제출자료)

• IBM, Cost of a Data Breach Report 2025

• Monetary Authority of Singapore, Technology Risk Management Guidelines (2021) / Notice 655 on Cyber Hygiene

• New York State Department of Financial Services, 23 NYCRR Part 500 (2023 개정)

• European Union, Digital Operational Resilience Act (Regulation (EU) 2022/2554)

• Bank of England, CBEST Threat Intelligence-Led Assessments / 운영복원력 정책

• NIST, Cybersecurity Framework 2.0 (2024)

작성 원칙 및 유의사항
• 본 자료는 정부·감독기관·해외 규제기관·글로벌 조사기관의 공개 자료와 각 금융회사의 공식 공지를 바탕으로 작성하였으며, 언론 기사를 인용하지 않았다.
• 피해 수치는 2026년 10월 8일까지 공개된 내용 기준이며, 당국 조사 결과에 따라 달라질 수 있다.
• 업권별 단계 진단, 국가 비교 평가, 권장 목표 점수는 필자의 전문가 의견이며 공식 평가 등급이 아니다.
• 자가진단은 외부 전문기관의 진단·모의해킹을 대체하지 않는다.
한국경영시스템연구원 대표 김의홍 | ISO 27001·27701 심사원 | seouls9001@naver.com

귀사의 지속가능한 성장과 진정한 행복을 위한 파트너, 김의홍 대표전문위원

ISO 42001(인공), ISO 9001(품질), ISO 14001(환경), ISO 45001(안전), ISO 22000(식품), ISO 22716(화장품),

ISO 27001(보안), ISO 27701(개인정보), ISO 27017(클라우드 서비스 정보보호), ISO 37301(준법경영),

ISO 37001(부패방지), ISO 37002(내부고발관리), ISO 30415(인적 다양성), ISO 50001(에너지),

ISO 13485(의료기기), ISO 22301(비즈니스 연속성), ISO 26000(사회적 책임), ISO 14064(온실가스 배출량 검증),

ISO 10002(고객만족경영), ISO 30301(문헌-기록), ISO 15489(기록관리), ISO 23081(기록 메타데이터),

ISO 13008(디지털 기록), ISO 53001(UN지속가능,ESG), SA8000(사회적 책임 경영), HACCP(식품안전),

FSSC22000(식품안전), IATF 16949(자동차), AI Tool 등 다양한 국제 인증 문의는 언제든지 환영합니다.

또한, 사업계획서, 제안서, 정책자금, 연구소인증, 벤처인증, 메인비즈인증, 이노비즈인증, 정책자금, 연구개발과제,

KS, KC, NEP, NET 인증, 조달등록, 혁신제품인증, 녹색인증, 병역특례인증, 위험성평가인증, 중대재해처벌대응,

지속가능보고서 획득 지원을 통해 귀사의 성공적인 비즈니스를 지원해 드립니다.

ISO 국제인증 전문기관 김의홍 대표전문위원에게 연락 주십시오.

AI PPT 제작 실무 교육(중소기업 출강/특강)

AI 싱크탱크 김의홍 010-8763-6739 seouls9001@naver.com