금융권 ‘설치형 보안 SW 폐지’ 지시, 연말까지 어떻게 할 것인가? – 한국형 갈라파고스 벗어날까?

안녕하세요! 여러분, 혹시 인터넷 뱅킹이나 증권사 HTS를 이용하면서 매번 설치해야 했던 수많은 보안 프로그램을 떠올리면 한숨부터 나오시나요? 저 역시 그랬습니다. 키보드 보안, 방화벽, 백신 등 PC에 덕지덕지 깔리던 프로그램들 때문에 컴퓨터가 느려지거나, 특정 사이트에 접속할 때마다 설치와 재부팅을 반복해야 했던 경험, 다들 있으실 겁니다. 그런데 최근 정부의 강력한 지시가 금융권을 강타하며, 마침내 이 불편함의 시대가 막을 내릴 준비를 하고 있다고 합니다. 바로 ‘설치형 보안 SW 전부 삭제’ 지시 때문인데요, 얼핏 들으면 반가운 소식이지만, 금융권은 지금 그야말로 패닉 상태에 빠져있다고 합니다. 과연 이 지시가 한국 금융 보안에 어떤 변화를 가져올지, 그리고 그 과정에서 어떤 혼란과 기회가 있을지 함께 살펴보겠습니다. 정부는 2026년부터 키보드 보안, 방화벽, 백신 등 PC에 강제 설치하던 설치형 보안 SW 폐지를 단계적으로 추진하고, 대신 다중 인증(MFA)과 AI 기반 이상금융거래탐지시스템(FDS)으로 보안 책임을 서버 쪽으로 완전히 이전하라고 지시했습니다. “한국형 보안 갈라파고스에서 벗어나겠다”는 정부의 강력한 의지는 분명하지만, 막상 대안 마련과 시스템 전환에 대한 명확한 가이드라인 부족, 그리고 촉박한 일정으로 인해 금융권의 불안감은 커져만 가고 있습니다. 이용자 입장에서는 ‘드디어 그 귀찮은 설치 없어지는 건가요?’라며 반색할 수 있지만, 금융사 입장에서는 사고 발생 시 수십억에서 수백억 원의 책임을 떠안을 수 있다는 공포가 먼저입니다. 무엇이 어떻게 바뀌는지, 왜 금융권이 이렇게 불안해하는지 지금부터 자세히 정리해 보겠습니다. ## 핵심 팩트 — 무엇이 바뀌나요? 이 변화의 중심에는 2025년 10월 22일 발표된 범부처 정보보호 종합대책이 있습니다. 국가안보실, 과학기술정보통신부, 금융위원회, 국가정보원, 행정안전부가 합동으로 주도하는 이 대책은 단순히 소프트웨어를 지우는 것을 넘어, 국가 전반의 사이버 안보 역량을 강화하는 데 초점을 맞추고 있습니다. 주요 내용은 다음과 같습니다: * 폐지 대상: 금융 이용 시 PC에 의무 설치하는 키보드 보안, PC 방화벽, 백신 등 설치형 SW. 우리가 인터넷 뱅킹을 할 때마다 ‘필수 설치’라며 나타나던 그 프로그램들입니다. * 시행 시점: 2026년부터 단계적 제한 시작, 오는 4월까지 대체 계획안 제출 지시. 즉, 당장 내년부터 본격적인 변화가 시작된다는 의미입니다. * 대체 수단: 다중 인증(MFA), AI 기반 이상금융거래탐지(FDS), 생체인식 등. 고객의 PC가 아닌, 금융사의 서버에서 보안을 책임지겠다는 의지입니다. * 보안 책임 이전: 고객 PC에서 금융사 서버로 완전히 이전. 이는 보안의 패러다임 자체를 바꾸는 중대한 변화입니다. * 추진 배경: SKT 유심 해킹, 롯데카드 297만 명 유출 등 2025년 연이은 대형 사고 발생. 이러한 사고들이 정부의 강력한 정책 추진에 불을 지폈습니다. 이 모든 변화의 궁극적인 목표는 소비자의 불편을 줄이고, 금융 서비스의 보안을 더욱 강화하며, 한국의 보안 시스템을 글로벌 표준에 맞추는 것입니다. ## 왜 지금인가 — 배경과 도화선 사실 이러한 변화의 움직임은 갑작스러운 것이 아닙니다. 2025년 한 해 동안 금융·통신권을 강타한 연이은 해킹 사태들이 직접적인 도화선이 되었습니다. 롯데카드에서 297만 명의 정보가 유출되고 8억 원의 실제 피해가 발생했으며, 국내 기업 침해 사고 신고 건수는 2024년 대비 26.3% 증가한 2,383건에 달했습니다. SKT 유심 대규모 해킹, 통신 3사 동시 침해, 예스24 랜섬웨어 마비 등 우리 생활과 직결된 인프라가 집중 공격을 받으면서 근본적인 보안 시스템 개선의 필요성이 강하게 대두된 것이죠. 학계에서도 이러한 문제 제기는 꾸준히 이어져 왔습니다. 카이스트 연구진은 “보안을 강화하려고 설치한 SW가 오히려 새로운 취약점을 만들어낸다”고 지적하며, 국내 의무 보안 소프트웨어의 구조적 취약점과 웹 브라우저 보안 우회 문제를 꼬집었습니다. 이른바 ‘한국형 갈라파고스’로 불리던 독특한 보안 환경에 대한 전환 요구는 이미 오래전부터 있었습니다. 우리가 불편함을 감수하며 설치했던 프로그램들이 오히려 보안의 구멍이 될 수 있었다는 사실은 충격적이지 않나요? ## 정부가 원하는 것 — 글로벌 표준으로의 전환 “한국형 갈라파고스 보안 패턴”이라는 말, 들어보셨나요? 전 세계 대부분의 은행은 고객 PC에 보안 SW를 강제 설치하지 않습니다. 영국, 미국, 유럽의 글로벌 은행들은 서버 측에서 암호화와 이상 거래 탐지를 처리하고, 고객은 아이디, 비밀번호, OTP만으로 로그인하는 것이 일반적입니다. 반면 한국은 고객 PC에 보안 의무를 전가하는 독특한 구조를 수십 년째 유지해왔습니다. 정부는 2026년부터 이러한 설치형 보안 SW 폐지를 단계적으로 제한하는 대신, 다중 인증(MFA)과 AI 기반 이상 탐지 시스템 등을 활용해 보안을 강화하겠다는 방침입니다. 구체적인 전환 방향은 다음과 같습니다. * 고객 PC의 설치형 보안 SW → 단계적 폐지 * 서버 측 AI-FDS → 전면 도입 (이상 거래 실시간 탐지) * 비밀번호 단독 인증 → MFA(다중 인증) 의무화 * 물리적 망분리 → 데이터 중심 보안으로 전환 이는 단순한 IT 정책 변경을 넘어, 금융사가 스스로 보안 책임을 지고 주도적인 보안 관리를 해야 한다는 철학적 전환을 의미합니다. 이제 금융사들은 고객의 PC에 의존하는 수동적인 보안이 아닌, 자체적인 역량으로 능동적인 보안 체계를 구축해야 하는 시대에 직면했습니다. ## 금융권이 패닉인 이유 — 3가지 핵심 문제 정부의 의도는 분명하고 방향성도 옳지만, 금융권은 왜 이토록 불안해하는 걸까요? 현재 금융권이 직면한 핵심 문제 세 가지를 짚어보겠습니다. ### 1. 당장 대안이 없다 정부는 글로벌 스탠더드에 맞춘 체질 개선을 요구하고 있지만, 당장 뚜렷한 대안이 없는 은행과 증권사는 사고 발생 시 수십억에서 수백억 원의 책임을 져야 할 위기에 처했습니다. 특히 고액 자산가나 중장년층이 주로 사용하는 PC 기반 인터넷뱅킹과 증권 HTS(홈트레이딩시스템)의 경우, 모바일 뱅킹과 달리 이들 트래픽을 안전하게 대체할 솔루션이 없다는 것이 가장 큰 불안 요인입니다. 수십 년간 익숙해진 시스템을 하루아침에 바꾸는 것이 얼마나 어려운 일인지, 경험해 보신 분들은 공감하실 겁니다. ### 2. 가이드라인이 없는데 책임은 금융사에 정부는 “오는 4월까지 대체 계획안을 내고 연말까지 전면 전환하라”고 지시했지만, PC 환경에서 설치형 보안 SW 폐지 이후 어떤 방식으로 교체할지에 대한 명확한 기술 가이드라인이나 제도적 보호 장치가 부재한 상황입니다. 보안 사고가 발생하면 금융사가 막대한 배상 책임을 질 수 있는데, 지시만 있을 뿐 명확한 기준이 없으니 금융사 보안 담당자들은 “방법이 없다”고 호소하고 있습니다. 심지어 그동안 설치형 보안 프로그램은 금융사가 “의무 보안 조치를 다했다”고 주장할 수 있는 법적 방어막 역할도 해왔기에, 그 공백이 더욱 두렵다는 목소리도 나옵니다. 마치 망망대해에 홀로 배를 띄우고 항해하라는 지시와 다를 바 없는 상황이죠. ### 3. 시간이 너무 부족하다 설치형 보안 SW 폐지 후 서버 기반 보안 시스템으로 전환하려면 금융사 내부 시스템 전반을 재설계해야 합니다. 서버 측 FDS 구축, MFA 시스템 연동, 고객 교육, 테스트와 인증까지 통상 수년이 걸리는 대규모 작업입니다. 그런데 “연말까지”라는 일정은 업계 상식으로는 불가능에 가깝다는 평가가 지배적입니다. 수십 년간 구축해 온 레거시 시스템을 단기간에 갈아엎는다는 것이 얼마나 어려운 일인지는 경험해 보신 분들은 다 아실 겁니다. 2000년대 초 인터넷뱅킹 도입 당시 PC 보안이 취약하다는 이유로 금융감독원이 설치형 보안 SW를 의무화했고, 당시엔 합리적 선택이었지만 이후 기술 발전과 무관하게 규제가 유지되면서 ‘한번 박힌 규제는 뽑히지 않는다’는 대표 사례가 됐습니다. 이제는 그 규제를 뽑아내야 할 때가 온 것이죠. ## 서버 기반 보안으로의 전환 — 대안은 무엇인가 그렇다면 정부가 제시하는 대안은 어떤 것들이 있을까요? 금융권은 이러한 새로운 보안 패러다임에 맞춰 시스템을 구축해야 합니다. * AI 기반 FDS (이상금융거래탐지시스템): 이용자의 거래 패턴, IP, 접속 환경, 행동 분석 등을 AI가 실시간으로 분석해 비정상 거래를 탐지합니다. 고객 PC에 SW를 깔지 않아도 서버 측에서 보안을 완성할 수 있는 핵심 기술로, 카카오뱅크, 토스 등 인터넷은행이 이미 이 방식으로 운영 중입니다. 우리은행도 AI 기술을 활용해 FDS 검사시스템을 고도화했습니다. * 다중 인증(MFA) 강화: 비밀번호 단독 인증 대신 OTP, 생체인식, 기기 등록 인증을 결합하는 방식입니다. 해외 글로벌 은행들이 표준으로 사용하는 방법으로, 고객 PC에 추가 SW 설치 없이도 인증 보안을 강화할 수 있습니다. * FIDO2·패스키 — 차세대 인증: 비밀번호 없는 인증 표준인 FIDO2와 패스키(Passkey)는 생체 정보를 기기에 저장하고 서버에는 인증 결과만 전달하는 방식입니다. 구글, 애플, 마이크로소프트가 이미 도입한 글로벌 표준으로, 최근 금융보안원 주관으로 디지털 월렛 보안 세미나에서도 AI 신원 인증과 같은 차세대 인증 기술이 논의되었습니다. * 제로 트러스트 아키텍처: “모든 접속을 의심하고 검증한다”는 원칙의 보안 설계 방식입니다. 내부망이든 외부망이든 접속할 때마다 신원과 기기를 재검증하기 때문에 설치형 보안 SW에 의존하지 않아도 됩니다. ## 과거 사례 — 해외는 어떻게 했나 해외 주요 금융 강국들은 이미 이러한 변화를 오래전에 경험했습니다. 영국의 바클레이스, 미국의 뱅크오브아메리카, 독일의 도이체방크 모두 고객 PC에 보안 SW를 강제 설치하지 않습니다. 대신 서버 측 FDS와 MFA, HTTPS 암호화로 보안을 완성합니다. 일본도 한때 한국과 유사하게 설치형 보안 SW를 운영했지만, 2010년대 중반 이후 단계적으로 서버 기반 방식으로 전환했습니다. 주목할 점은 전환 과정에서 한시적으로 보안 사고가 증가했고, 이를 보완하기 위해 법적 책임 완화 장치와 정부 지원이 병행되었다는 사실입니다. 우리 금융권이 가장 우려하는 부분이기도 하죠. 해외 사례를 통해 우리는 단순히 기술적인 전환뿐만 아니라, 제도적, 법적 뒷받침이 얼마나 중요한지 알 수 있습니다. ## 찬반 논점 — 엇갈린 평가 이러한 설치형 보안 SW 폐지 정책에 대해서는 다양한 평가가 존재합니다. * 찬성 측 — 장기적으로 옳은 방향: 설치형 보안 SW는 고객 편의를 해치면서 실질적 보안 효과는 의심받는 구조였습니다. 카이스트 연구진이 지적했듯 오히려 새로운 취약점을 만들기도 했고요. 서버 중심 보안으로 전환하면 이용자 편의가 크게 개선되고, 보안 기술도 글로벌 수준으로 올라갈 수 있다는 긍정적인 평가가 많습니다. 우리 모두가 바라던 ‘편리하면서도 안전한’ 금융 환경에 한 발짝 더 다가서는 것이죠. * 반대 측 — 단기 충격이 너무 크다: 전환 일정이 비현실적이고, 기술 가이드라인도 법적 보호 장치도 없습니다. 현재 PC 기반으로 거래하는 고령층과 고액 자산가들이 전환 기간 동안 보안 공백에 노출될 수 있다는 우려도 큽니다. “좋은 방향이지만 속도 조절이 필요하다”는 의견이 업계에서 지배적입니다. 급격한 변화는 언제나 부작용을 낳을 수 있기에, 신중한 접근이 필요하다는 목소리입니다. ## 앞으로의 전망 — 3가지 포인트 이번 정책이 성공적으로 안착하기 위해서는 몇 가지 주요 과제가 남아있습니다. 1. 4월 대체 계획안 제출이 첫 번째 분수령입니다. 금융사들이 정부에 제출하는 계획안의 내용과 완성도에 따라 전환 일정이 조정될 수 있습니다. 현실을 반영한 단계적 로드맵이 나올지, 정부가 원안대로 밀어붙일지가 관건입니다. 2. 법적 책임 완화 장치 마련이 핵심 쟁점입니다. 보안 사고 발생 시 금융사에 책임이 집중되는 현행 구조를 바꾸지 않으면 금융사의 자발적 전환을 기대하기 어렵습니다. 입증 책임 완화 등 제도 보완이 반드시 병행되어야 한다는 의견이 많습니다. 금융당국이 ‘규정 준수’에서 ‘책임자 지정’으로 전환하는 만큼, 이에 대한 명확한 가이드와 완충 장치가 절실합니다. 3. 보안 SW 업체들의 구조조정이 불가피합니다. 설치형 보안 SW를 주력으로 하던 국내 보안 기업들은 사업 모델 전환이 시급한 상황입니다. FDS, 제로 트러스트, MFA 솔루션 등으로 피벗하는 기업은 새로운 기회를 얻을 수 있지만, 변화에 적응하지 못하는 기업은 구조조정을 피하기 어려울 것입니다. 이는 산업 생태계 전반에 걸친 변화를 예고합니다. ## 마무리 “설치형 보안 SW 다 빼라”는 정부 지시는 수십 년간 이어온 한국형 보안 패턴에 대한 전면적인 수술입니다. 장기적으로는 분명 옳은 방향이고, 이용자 편의와 글로벌 표준 정합성을 높이는 매우 중요한 조치임에 틀림없습니다. 하지만 당장 대안 기술과 가이드라인이 부족하고, 법적 책임 구조가 정비되지 않은 상황에서 연말까지 전면 전환이라는 일정은 무리라는 것이 업계의 공통된 목소리입니다. 이번 정책이 한국 금융 보안의 근본적인 업그레이드로 이어질지, 아니면 혼란과 사고만 키우는 결과로 마무리될지는 앞으로 나올 가이드라인 보완과 업계와의 긴밀한 협력에 달려 있습니다. 여러분은 인터넷뱅킹 설치형 보안 SW 폐지, 반기시나요 아니면 우려되시나요? 자유롭게 의견을 남겨주세요! — ## FAQ ### Q1. 키보드 보안·백신을 PC에 설치하지 않으면 더 위험한 것 아닌가요? 전통적인 키보드 보안은 키로거(키 입력을 훔쳐보는 악성코드)를 막기 위한 것이지만, 카이스트 연구진이 밝혔듯 오히려 브라우저 보안을 우회하는 취약점을 새로 만들기도 합니다. 서버 측 AI-FDS와 MFA가 제대로 구축되면 PC에 SW를 깔지 않아도 더 높은 보안 수준을 달성할 수 있습니다. ### Q2. 카카오뱅크·토스는 이미 설치형 SW 없이 운영하지 않나요? 맞습니다. 인터넷 전문 은행들은 처음부터 서버 기반 FDS와 MFA 중심으로 설계되었습니다. 이번 규제 변화의 방향이 이 모델을 기존 시중 은행·증권사로 확대하는 것입니다. ### Q3. 이용자는 당장 무엇이 달라지나요? 단계적 전환이기 때문에 즉각적인 변화는 없습니다. 은행마다 다르게 진행되며, 설치 없이 로그인이 가능한 방식으로 변경되거나 모바일 앱 인증이 강화되는 방향으로 바뀔 가능성이 높습니다. ### Q4. 설치형 보안 SW 업체들은 어떻게 되나요? 키보드 보안·방화벽 위주의 기존 사업 모델은 타격을 받을 수밖에 없습니다. 제로 트러스트, FDS, AI 보안 솔루션으로 전환하는 기업은 새로운 기회를 얻을 수 있지만, 적응하지 못하는 기업은 구조조정이 불가피합니다. ### Q5. 해외에서 실제로 서버 기반 보안이 효과가 있나요? 전 세계 글로벌 은행들이 수십 년째 이 방식으로 운영 중입니다. 영국, 미국, 유럽의 대형 은행 대부분이 고객 PC에 보안 SW를 설치하지 않으며, AI-FDS와 MFA 조합으로 운영합니다. 물론 이들도 완벽하지 않아 보안 사고가 발생하지만, 설치형 SW 의무화보다 우수한 보안 성과를 보이는 것으로 평가됩니다.