이 기사는 2025년 11월 06일 07:33 thebell 에 표출된 기사입니다.

KB국민카드가 제로트러스트 모델로 전환하고 있다. 보안 체계 성숙도를 향상시켜 실질적인 내외부 대응 역량을 높이는 데 주안점을 뒀다. 외부 해킹 공격에 대비해서는 모의해킹 점검도 강화하고 있다. 기존 경계형 보안 모델에서 벗어나 심층 방어가 가능하도록 보안 생태계의 선순환 구조를 구축하는 것을 목표로 한다.

KB국민카드는 새로운 보안 트렌드 파악에도 주력하고 있다. AI 보안관리 체계를 구축하는 등 정보보호 관련 개선 작업을 지속 중이다. DevSecOps(개발·보안·운영) 기반 오픈소스 관리 체계 확립과 같은 프로젝트를 통해서는 기존 보안 체계를 고도화하고 있다. 이러한 지속적인 개선 활동을 펼쳐 고객 보호 수준을 높인다는 방침이다.

◇내외부 위협 대비 조직 간 유기적 연계 강화

KB국민카드는 정보보호본부 직속의 전담 부서를 운영하고 있다. 정보보호최고책임자(CISO)가 본부장을 맡아 전사적 정보보호 전략과 운영을 총괄한다. 정보보호 조직은 총 40여 명으로 구성돼 있다. 산하 조직은 테크보안, 개인정보보호, 보안인프라운영, 보안점검, 사이버위협대응 등 5개 팀으로 나뉜다. 각 팀은 전문성을 바탕으로 보안 아키텍처 관리, 보안 시스템 운영과 관제, 보안 점검, 사이버 위협 대응 등의 업무에 주력한다.

현재 CISO는 박규하 상무가 맡고 있다. 박 상무는 업무혁신과 정보보호 경험을 바탕으로 개인정보 관련 업무 프로세스와 IT 보안에 정통한 인물이다. KB국민카드는 개인정보보호 측면에서 라이프 사이클에 따른 권한 관리와 보안 정책을 마련해 운영하고 있다. 시스템적으로는 내부망과 DMZ구간, 클라우드 영역 등을 구분해 제반 보안 솔루션과 모니터링 체계를 갖춰나가고 있다.


정보보호 조직의 운영 체계는 협업 조직과도 유기적으로 연계된다. 대표적으로 테크그룹과 플랫폼사업그룹, AI데이터사업그룹 등이 있다. 정보기술부문 내부 직원 약 200여 명과 외부 인력이 개발, 운영을 담당한다. 정보보호 조직은 보안 정책 수립과 보안 점검, 취약점 관리 등 전사적 보안 실무를 총괄한다. 반면 협업 조직은 각 IT 시스템의 개발 및 운영 단계에서 보안 정책 준수와 자체 점검 등 실무 보안 활동을 수행한다. 이러한 분담을 통해 전사적 보안 체계가 유기적으로 보완되고 있다.

KB국민카드 정보보호의 중점 사항은 고객의 신뢰를 지키는 고객 정보와 IT 자산 보호다. 고객의 개인정보를 적법하고 안전하게 처리·관리하는 데 주안점을 뒀다. 나아가 기존 경계형 보안 모델에서 벗어나 내외부 위협으로부터 심층 방어가 가능하도록 제로트러스트 모델로의 전환을 추진 중이다. 이를 통해 장기적으로 안정적이고 강화된 정보보호 환경을 구축하는 것을 목표로 한다.

◇기본 보안 체계 아래 새로운 보안 트렌드 대응

KB국민카드는 새로운 보안 트렌드에 뒤처지지 않도록 역량을 집중 투입하고 있다. 최근 주요 침해사고의 원인을 분석하고 관리 체계 전반에 대해 전수 점검을 수행했다. 이를 통해 취약점을 보완하며 보안 생태계의 긍정적인 선순환 구조를 만들겠다는 목표다. 외부 해킹 공격에 대비해서는 모의해킹 점검 체계를 강화했다. 동시에 제로트러스트 보안 체계 성숙도를 향상시키는 전략도 병행하고 있다.

제로트러스트는 '모든 것을 의심하고 확인해야 한다'는 새로운 패러다임이다. 제로트러스트 모델 성숙도 향상을 위해 제반 시스템을 지속 고도화하고 있다. 고객 정보 파기 프로세스를 자동화했으며 이상 징후 모니터링 체계와 AI 기반 보안관리 체계 등을 강화했다. 이러한 조치로 내외부 침해 위협을 최소화하고 시스템 안정성을 확보했다.

KB국민카드는 보안 체계의 효율성과 대응 역량을 강화하는 데도 집중하고 있다. 이에 기반해 공격표면관리(ASM) 고도화, DevSecOps 기반 오픈소스 관리 체계 확립 등의 프로젝트를 추진 중이다. KB국민카드 관계자는 "기존 보안 체계를 개선하고 고도화하고 있다"며 "지속적인 개선 활동을 통해 보안 수준을 높이고자 한다"고 강조했다.

정보보호 업무의 성과 평가는 독립적으로 보안 역량 향상 중심으로 이뤄진다. 전 직원의 관심과 참여를 유도하기 위해 타 부서를 평가하는 가감점 제도를 운영하고 있다. 평가 항목은 정보보호 내규 준수, 개선 노력, 중요 정책 위반 여부 등으로 구성된다. 이를 통해 보안 위반을 예방하고 전사적으로 정보보호 문화를 확산시키겠다는 목표다.