언론사 : 보안뉴스
뉴스 제목 : 금융권 망분리 규제 완화 이슈, 해결 가능할까? 정부·산·학·연 정책 개선 토론회 펼쳐
게시일 : 2023-09-21
URL : https://m.boannews.com/html/detail.html?mtype=3&tab_type=6&idx=122041
금융권 망분리 규제 완화 이슈, 해결 가능할까? 정부·산·학·연 정책 개선 토론회 펼쳐
정부가 실제적인 ‘보안’에 관심을 갖고 망분리 시스템을 도입하게 된 계기는 2013년 국내에서 일어난 ‘3.20 사이버테러 사건’이다. 당시 주요 방송사와 은행, 카드 회사 등의 전산망이 모두
m.boannews.com
[ 기사 요약 ]
정부가 실제적인 '보안'에 관심을 갖고 망분리 시스템을 도입하게 된 계기는 2013년 국내에서 일어난 '3.20 사이버테러 사건'이다. 금융회사의 한 직원의 PC 해킹으로 시작되어 악성 이메일 실행과 액티브엑스(Active X)에 의한 감염으로 당시 주요 방송사와 은행, 카드 회사 등의 전산망이 모두 마비 되었다. 이 사건으로 정부는 PC를 보호하기 위한 강력한 대응책으로 물리적/논리적 망분리를 병행 도입했다.
10년이 지난 현 시점 금융환경은 대면 중심에서 비대면 중심으로 발전했다. 하지만 금융권 망분리 정책과 규제는 10년 전 그대로 현재까지 유지되어 변화가 필요하다는 업계의 목소리가 나오고 있다.
이에 금융권 망분리 규제 정책 개선과 완화를 위해 금융당국과 금융 업계 산/학/연 관계자들이 머리를 맞댔다. 그 결과 아래와 같은 의견이 제시되었다.
1. (공통)금융산업 현장에서는 재택근무 환경 조성 제한 및 업무 생산성 저하로 IT 전문인력들의 금융권 기피 현상 일어날 수 있다는 우려와 함께 제로데이 공격 등 실시간 위협에 대한 대응책 마련이 필요하다.
2. 금융회사 클라우드를 보안 SaaS로 도입해 실시간으로 관리되도록 하는 편이 더욱 안전할 수 있다
→ 금융당국의 입장 : SaaS 서비스 도입은 망분리 개념과는 다르게 봐야한다. SaaS 서비스는 내부망이 인터넷에 접속되는 것이므로 보안 리스크가 상당하기에 금융당국이 규제 샌드박스로 진행하는 것이며, 도입 시 금융회사 내부에서 관리할 부분들이 상당하다.
3. 개인정보보호법 같이 기업의 보안 요구사항과 업무 역량을 고려해 선택적 망분리가 가능하도록 규제 완화가 필요하다.
→ 금융당국의 입장 : 단기간에 완화해 나가는 건 다소 무리가 있찌만 단계적/점진적으로 물리적 망분리로 한정짓는 규제를 보다 유연하게 적용할 수 있도록 추진해 보겠다.
4. 망분리 규제 완화 외에도 '열거주의' 기준의 모호한 표현으로 인해 신기술 도입/활용에 제한이 생긴다.
→ 금융당국의 입장 : 금융감독원/금융보안원과 함께 여러 상황에 대응할 수 있또록 세부적인 예시는 가이드라인 형태로 제작하고 위반 시 참조사항으로 완화하는 등 원칙 중심의 전자금융감독규정 개정 작업을 진행 중이다.
https://m.boannews.com/html/detail.html?idx=82165
[정보보호 20년史] 2013년: 3.20 및 6.25 사이버테러 발발
2013년 한 해는 3.20·6·25 사이버테러를 비롯해 스미싱, 인터넷뱅킹 등 각종 사이버공격과의 전쟁이었다고 해도 과언이 아니다. 유난히 사이버공격과 사건사고가 많았던 한 해였으며, 사이버 보안
m.boannews.com
https://www.2e.co.kr/news/articleView.html?idxno=301866
핀테크에겐 특히 불리한 망분리 규제?!ㅣ망분리 정의(물리적 망분리, 논리적 망분리), 장단점, 망
2011년 4월 농협에서 전산 장애 사태가 발생했다.4월12일 카드시스템에서 장애가 처음 발생했고 마침내 주전산기도 다운되었다. 14일 오전에 인터넷뱅킹과 자동화기기 서비스 등이 복구되었지만
www.2e.co.kr
[ 개인 의견 ]
망분리가 PC를 보호하기 효과적이다라는 것은 이해를 하지만 시대는 점점 발전하고 있는데 과거의 해결책을 그대로 가지고 가는 것이 맞는 지 잘 모르겠다. 더 좋은 대안이 정확히 무엇인지는 잘 모르겠지만 이런것을 찾아내서 보안 미래를 더 좋은 방향으로 이끄는 것이 보안인으로서 중요한 사명인 듯 하다.
이번 기사에서 기업이 선택적 망분리를 할 수 있게 규제를 완화해줘야한다는 의견을 보며 왜 그래야하지? 망분리를 하면 당연히 좋은 거 아닌가?라는 생각을 하며 찾아보았는데 시대가 발전하며 핀테크라는 서비스 산업시 생겼고 모바일 중심으로 금융서비스를 제공하는 이러한 서비스는 외부 소프트웨어 자원인 오픈소스 활용도가 높은데, 이때 인터넷 연결은 필수다. 그런데 이러한 서비스를 제공하는 기업에게 망분리를 강요하는 것은 무리라는 것을 깨달았다. 또한 찾아보니 이러한 부담을 줄이기 위해 논리적 망분리를 구축한 핀테크 기업들은 벌금을 부과받았다고 한다. 이렇듯 망분리는 물리적으로 가장 높은 수준의 보안이지만 물리적 분리가 모든 보안을 해결하지는 않으니 규제를 완화하는게 금융권 미래를 좀 더 좋은 방향으로 이끌 수 있는 길 같다. 금융당국도 이를 적절히 검토하겠다고 하였으니 좀 더 발전하는 금융권이 되지 않을까 기대하게 된다.
핀테크에게 불리한 망분리에 대한 기사를 보며 기사 속 '언제나 혁신은 과감한 변화에서 이루어진다'라는 글을 보고, 나도 보안인으로서 과감한 변화를 무서워하지 않고 진취적인 모습으로부터 혁신을 일으킬 수 있는 사람이 되고싶다는 생각을 하게되었다.
[ 용어 정리 ]
망분리란?
- 공공기관이나 기업에서 인터넷망과 완전히 분리된 환경에서 업무를 볼 수 있도록 인터넷망과 업무망을 망(네트워크) 분리 하는 것을 뜻한다.
(https://terms.tta.or.kr/dictionary/dictionaryView.do?subject=%EB%A7%9D+%EB%B6%84%EB%A6%AC)
핀테크란?
- 금유오가 기술의 합성어로 금융과 정보통신 기술의 융합을 통한 금융서비스와 산업의 변화를 아우르는 말
(https://www.fsc.go.kr/kids/kd030201)
액티브엑스(Active X)
- 마이크로소프트사가 개발한 재사용 가능한 객체지향적인 소프트웨어 구성요소 개발에 사용되는 기술
(https://ko.wikipedia.org/wiki/%EC%95%A1%ED%8B%B0%EB%B8%8CX)
SaaS(서비스형 소프트웨어)
- 클라우드 기반의 소프트웨어 제공 모델
- 클라우드 제공업체가 클라우드 어플리케이션 소프트웨어를 개발 및 유지 관리하고, 자동 소프트웨어 업데이트를 제공하고, 인터넷을 통해 Pay-as-you-Go 방식으로 고객에게 소프트웨어를 제공한다.
(https://www.oracle.com/kr/applications/what-is-saas/)
제로데이 공격
- 개발자가 인지하지 못한 소프트웨어 취약점을 대상으로 하는 매우 위험한 공격 기법
- 제로데이 공격이 발생했다는 것은 개발자가 아직 약점을 해결하거나 보안 패치를 만들 시간이 없었음을 의미
(https://www.akamai.com/ko/glossary/what-is-zero-day-attack)
'보안 이슈' 카테고리의 다른 글
| 왜 서로 이야기를 안하는거에요? (0) | 2023.10.17 |
|---|---|
| 루니튜너블즈 예전부터 존재했었어요! (1) | 2023.10.10 |
| CCTV 영상정보 활용: 실무적 접근을 위한 개인정보보호법 해석 ④ (0) | 2023.09.16 |
| CCTV 영상정보 활용: 실무적 접근을 위한 개인정보보호법 해석 ③ (0) | 2023.09.14 |
| CCTV 영상정보 활용 : 실무적 접근을 위한 개인정보보호법 해석 ② (0) | 2023.09.13 |