통합보안관제 경보체계 변경

(건의배경) 침해사고대응기관으로 지정된 금융보안원은 통합보안 관제센터로서 각 회원사에 ‘상황전파보고서’와 ‘유해정보 차단공지’를 전파하고 있음 * 상황전파보고서는 해당 금융기관이 외부의 공격자로부터 직접 공격의 대상이 된 경우 해당 금융회사에 공격 내용을 전달하여 즉각적인 대응 및 차단 유도 * 유해정보는 3개 이상의 금융회사가 공격의 대상이 된 경우 해당 공격 IP를 전파하여, 각 회원사의 판단에 따라 차단 및 추가피해 예방

하지만 금융보안원이 경보를 통보하고 각 회원사에서 대응하는 선통보 후조치 시스템이다 보니, - 제한된 인력이 해당 업무를 담당하는 중소형 금융회사의 경우 야간이나 담당 인력 휴가시 등에는 금융보안원의 통지에 대해 즉각적인 조치를 하지 못하는 경우 발생하고 있고 추가적인 피해 우려도 상존

(건의사항) 금융보안원이 관계기간(KISA, ISP사업자)의 협조를 얻어 공격 IP에 대해서 자체적으로 선 차단ㆍ조치하고 해당 회사에 통보하여 추가적인 피해를 방지할 수 있도록 체계 구축

모든 금융회사에 대해 이러한 일괄 조치가 불필요한 경우 원하는 회사에 대해서 만이라도 금융보안원이 이러한 조치를 취해주기를 요청 * 금융보안원은 해킹 등 외부 공격에 대한 전문적인 지술ㆍ경험 및 시스템을 구축하고 있어 외부공격 오탐 가능성은 매우 적음 (현재도 금융보안원에서 통보된 IP에 대해서는 단순 차단 조치하는 업무를 반복하고 있음)

금융보안원은 금융분야 정보통신기반시설 보호를 위해 참가기관(금융회사 등)의 인터넷 외곽 구간에 보안관제시스템을 설치하여 전자적 침해시도 IP 등 위협정보를 탐지·분석하고 전체 참가기관과 공유 중입니다.

해당정보는 금융보안원이 침해시도로 판단한 것으로 받은 정보에 대한 차단여부 판단은 금융회사에서 담당하여야 할 부분입니다.

정보를 받은 참가기관은 업무 영향도 등을 고려 자체 판단하에 차단정책을 적용중입니다.

금융보안원은 IP를 직접 차단할 수 있는 법적 권한이 없으며, 침해시도만으로는 관계기관(KISA)에 차단을 요청할 수 있는 법적 요건(침해사고 발생)이 불충분하여 선 차단ㆍ조치가 어렵습니다. * KISA는 정보통신망법(§48②)에 의거 침해사고에 대한 긴급조치를 수행하는 기관

또한, 원하는 금융회사에 대한 개별 차단은 해당 금융회사의 정보보호시스템(방화벽 등) 관리자 권한을 부여받아야 가능한 것으로, 원격에서 관리자 권한으로 접속하여 차단하는 것은 정보보호측면에서 매우 위험하고 금융보안원의 역할도 아닙니다.