홍콩 증선위, 고위험 인가기관 보안 기준 강화 추진

홍콩 증권선물위원회가 인가 기관의 사이버보안 체계를 마련하고, 위험도가 높은 기관에는 더 엄격한 기준을 적용할 계획이다. 인공지능(AI)을 활용한 사이버 공격에 대한 방어 능력을 높이려는 구상이다.

줄리아 렁(Julia Leung) 홍콩 증권선물위원회(Securities and Futures Commission·SFC) 최고경영자가 2일 홍콩 핀테크위크 2026에서 이 같은 계획을 밝혔다고 체인캐처(ChainCatcher)는 전했다. 렁은 같은 행사에서 토큰화가 시장에 실질적인 경제적 효익을 제공해야 규모를 키울 수 있다고 말했다.

이번에 제시된 구상은 기관별 위험 수준에 따라 보안 기준을 달리하겠다는 내용이다. 위험도가 높은 기관에는 더 높은 요구사항을 적용해 AI 기반 위협에 대응한다는 취지다.

위원회는 6월 2일 지침에서 인가 법인과 SFC 인가 가상자산 서비스 제공자, 관계 회사를 보안 감독 대상으로 명시했다. 홍콩에서 인가받은 가상자산 거래 플랫폼도 이 지침의 적용 대상이다.

위원회는 지침에서 홍콩의 사이버보안 사고가 2025년 1만5877건으로, 2024년 1만2536건에서 늘었다고 밝혔다. 집계에는 봇넷, 분산서비스거부(DDoS), 웹사이트 변조, 악성코드, 피싱 사고가 포함됐다.

인가 기관은 AI 기반 공격에 대비해 기존 시스템의 취약점을 평가하고 필요한 조치를 해야 한다. 보안 체계 변경을 검토·승인하고 개선 사항을 신속히 이행할 최종 책임은 고위 경영진에 있다고 위원회는 밝혔다.

위원회는 AI 모델이 소프트웨어와 기반시설의 취약점을 찾고 악용하는 데 필요한 전문성·비용·시간을 줄일 수 있다고 지적했다. 피싱과 사회공학, 딥페이크를 활용한 사칭, 정찰 공격의 기술적 문턱도 낮아질 수 있다고 설명했다.

취약점이 공개된 뒤 공격에 악용되기까지의 간격도 줄어들고 있다는 게 위원회의 판단이다. 이에 따라 인가 기관에는 보안 패치와 취약점 관리 절차를 신속히 개선하고, 핵심 시스템의 긴급 수정에 대비하도록 했다.

기관은 하드웨어와 소프트웨어, 네트워크, 데이터베이스, 클라우드 서비스 등 기술 자산의 목록을 최신 상태로 유지해야 한다. 외부에 노출된 자산과 핵심 업무에 쓰이는 자산, 제3자 구성요소에 의존하는 자산을 구분해 취약점 대응 우선순위를 정하도록 했다.

접근 권한은 업무에 필요한 최소 수준으로 제한하고, 방화벽과 네트워크 분리를 강화해야 한다. 외부 앱·이메일·문서·웹페이지에서 들어온 내용을 신뢰할 수 없는 입력으로 취급하고, 영향이 큰 작업에는 이중 확인 절차를 두도록 했다.

위원회는 고객 거래와 시스템 활동의 이상 징후를 감지·감시하고 위협 정보를 수집하는 역량도 강화하도록 했다. 핵심 업무를 지원하는 외부 서비스 업체에 대해서는 초기 평가와 지속적인 보안 위험 점검을 요구했다.

사고 대응 절차와 비상계획은 모의 공격이나 도상 훈련 등으로 정기적으로 시험해야 한다. 사업 기록과 고객·거래 데이터의 백업을 유지하고, 중대한 사이버보안 사고나 공격은 위원회에 신속히 알려야 한다.

위원회는 위험 변화를 살피면서 추가 지침을 내거나 인가 기관의 대응 준비와 회복력을 점검할 수 있다고 6월 지침에 적었다. 필요하면 감독 조치도 검토할 수 있다고 밝혔다.

◇ 토큰화는 실질적 효익이 관건

토큰화는 투자상품에 대한 권리를 블록체인 기반 토큰으로 표시하는 방식이다. 렁은 홍콩 기관들이 토큰화 분야에서 앞서 있다고 평가하면서도 시장에 실질적인 경제적 효익을 제공해야 규모화할 수 있다고 강조했다.

위원회는 4월 20일 토큰화 투자상품의 2차 거래를 허용하기 위한 규제 체계를 발표했다. 당시 발표한 체계는 SFC 인가 가상자산 거래 플랫폼을 통한 거래와 공정한 가격 형성, 유동성 공급, 정보 공개 등을 다룬다.

위원회는 10월 26일 인가 가상자산 거래 플랫폼에서 토큰화 공모 머니마켓펀드 두 종의 2차 거래가 시작됐다고 밝혔다. 당시 발표한 거래 조건에는 상시 거래와 거래 경로, 가격 공정성, 유동성 공급, 정보 공개 관련 안전장치가 포함됐다.