금융전산망 분리에 대한 개선 요청
금융위원회 · 2016-09-09
회신
출처 · 원문 발췌
기조치(수용)
본문
요청 내용
□ (건의배경) 전자금융감독규정 제15조 제1항 제3호* 및 금융전산 망분리 가이드라인(’13.9)에 따라 인터넷망과 업무망이 분리되어야 함
ㅇ 그러나, Citigroup은 일부 그룹웨어 사이트를 인터넷을 통하여 호스팅해서 사용하며 한국씨티은행도 그 중 일부 시스템을 사용하므로 불가피하게 업무망에서 인터넷 그룹웨어 사이트 접속이 요구되며, 비즈니스 사용자가 사용하는 일부 정보 사이트 중 업무망에서 접속이 요구되는 사이트가 있음
* 제15조(해킹 등 방지대책) ① 금융회사 또는 전자금융업자는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 다음 각 호의 대책을 수립·운용하여야 한다.
1. ～ 2. (생략)
3. 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리·차단 및 접속 금지
□ (건의내용) Citigroup 업무망 SSO(Single Sign On)에서 인증 후 접속하는 외부 인터넷 그룹웨어 사이트에 대한 업무망에서의 접속 허용
ㅇ 인터넷 그룹웨어 사이트(예: Citigroup 전용 골프 예약 사이트, Citigroup 전용 여행사, Citi Direct 등) 중 Citigroup 업무망 SSO(Single Sign On) 서버를 통해서 접속해야하는 다수의 사이트가 있으나, Citigroup 업무망 SSO 서버 수가 많아 이러한 모든 사이트에 대해 방화벽 포트 개방, SSO 시스템에서의 개별 등록은 하는 것은 불가능하며, 업무망에서의 인터넷 그룹웨어 사이트 접속은 Citigroup 보안 준수 및 충분한 대응을 하고 있으므로 외부 사이트 중 Citigroup의 SSO 서버와 연동된 사이트에 대하여 업무용 PC에서 접속할 수 있도록 허용
※ 필요하다면 해당 사이트의 이용권한을 지정된 사용자에게만 부여하고 관련이 없는 사용자 PC에서는 차단 가능
ㅇ 각종 정보 사이트 중 일부(예: KISvalue.com 등)는 고정 IP의 요건 등을 갖추어야지만 접속이 가능한데, 가상화 PC로 구성된 인터넷망은 유동 IP를 사용하고 있어 접속이 불가하므로 이러한 사이트에 대해 예외적으로 업무망에서 접속 허용
※ 만약, 업무망에서 접근을 허용하지 않을 경우에는 해당 기관에서 가상화 PC에서 접속 가능하도록 변경 요망
ㅇ Citi Remote Office Web Portal 접속은 기 인가된 사용자에 한해서만 접속이 가능하며, OTP를 통한 일회용 비밀번호를 통해 VPN으로 접속하여야 하므로 재택근무, 출장 시 업무용 노트북을 통한 Citi Remote Office Web Portal 예외 허용
ㅇ 재택근무, 장애 발생 시 개인 소유 PC를 통한 Citi Remote Office Web Portal 예외 사용
ㅇ 전산개발 업무담당자의 야간 및 휴일 장애 발생시 신속한 조치를 위한 글로벌하게 사용하는 Citi Remote Office Web Portal 예외 사용
< 참고 > Citi Remote Office Web Portal 접속에 따른 통제 절차
- 접근 통제 : 사전에 접근이 인가된 사용자만 접근이 허용
- 로그인 : 인가된 사용자에게 지급하는 OTP 생성기에서 생성된 일회용 비밀번호를 이용하여 접속함
- Citi Remote Office Web Portal 접속이 성공한 이후 다음의 서비스를 이용 가능
1) VPN : 한국씨티은행에서 지급한 노트북 사용자는 VPN을 통해서만 접근 가능함
2) VDI(Virtual Desktop Infrastructure, 가상단말기)
3) e-mail
- VDI 접속 : 가상의 단말기 접속을 위해 SOEID 및 비밀번호를 입력한 후 가상단말기에서 장애 처리 등 필요한 조치를 수행
판단 이유
금융회사 또는 전자금융업자는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 내부 업무용 시스템을 인터넷 등 외부통신망과 분리·차단 및 접속 금지하여야 합니다,
- 망분리 의무 이행시 업무상 불가피하게 외부기관과 연결이 필요한 경우 전자금융감독규정시행세칙 2조의2에 따라 예외를 허용하고 있습니다.(기조치)
- 원격 근무용 Remote Office Web Portal의 경우, 내부 업무망과 분리·독립된 망에 설치한 것으로 전자금융감독규정 제15조 1항 3호 적용대상이 아닙니다.
관련 법령
3. 내부통제>내부통제기준 >내부통제제도 일반
연결
관련 근거
더 찾아보기
기관 원문
금융위원회에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.