야간휴일에 전산시스템 장애발생시 원격접속 허용

(건의배경) 전자금융감독규정*에 따라 금융회사의 중요단말기, 내부통신망과 연결된 내부업무용시스템 및 전산실내 정보처리시스템 등은 외부통신망과 분리?차단 및 접속 금지 * 제12조 제3호 : 중요단말기에 대한 인터넷 접속, 그룹웨어 접속의 금지 제15조 제1항 제3호 : 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리·차단 및 접속 금지 제15조 제1항 제5호 : 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리

이로 인해 야간, 휴일에 장애 등 긴급상황 발생시 전문인력이 외부에서 원격 접속할 수 없어 신속한 조치 및 대응이 어려움

(건의사항) 장애발생 등 긴급한 조치가 필요한 경우 신속한 대응을 위하여 보안 유지를 위한 엄격한 절차와 조건*을 충족한 경우에는 예외적으로 원격접속을 허용할 필요 * 외부접속 절차(안) : 1) (접근 통제) : 사전에 허가된 접속 ID를 가진 사용자에게만 접속을 허용 2) (가상사설망 접근) : 외부 통신망에서 내부 통신망으로 접속시 은행 웹사이트(가상 사설망(VPN :Virtual private network))로 로그인 하는 경우 단, 로그인시 본인 접속 ID와 일회용 비밀번호(OTP)를 입력 3) (PC 접근): 사무실에 위치한 본인 PC접속을 위해 사용자 ID 및 비밀번호를 입력한 후 PC에서 장애 처리 등 필요한 조치를 수행 4) (서버 접근): 본인 PC 접속 후, 정보처리 시스템에 접근 필요시 추가적으로 개발자만 사용 가능한 별도의 정보처리시스템 ID 및 패스워드를 입력하여 정보처리 시스템에 로그인을 하도록 통제 강화 5) (사후 확인): 정보처리 시스템에 접속한 로그 기록은 별도로 보관되며 익일 담당관리자에 의해 정당한 사용여부를 검증 6) (장애처리) : 정보처리시스템의 오류를 해결하기 위해 Repair ID를 사용하고자 할때는 사전에 담당팀장에게 구두 사용 승인 => INC(VT)발행 => PPMC Repair ID사용승인 => WAIS 일회성 토큰 수령절차를 통해 사용 (용어 설명) * Repair ID : 오류 발생시 해결을 위해 개발자에게 부여된 정보처리시스템 접속 ID * INC(VT) : 장애 관리 시스템(service now)에서 발행된 장애관리 번호 * PPMC: Project Portfolio Management Center는 project관리 및 정보처리시스템 변경 작업 시 문서 관리/관련자 승인을 처리하는 시스템 * WAIS : Web Automated Information System은 정보처리시스템에 접속하기 위하여, 일회성 비밀번호 (Token)을 부여받는 시스템으로, Token 부여시 정당한 INC(VT)가 발급되었는지 검증

업무상 불가피한 경우에 한하여 망분리 예외를 인정하는 「전자금융감독규정 시행세칙」을 ‘15.9.17부로 시행하고 있습니다.

「전자금융감독규정」제15조 제1항 제5호 및 「전자금융감독규정 시행세칙」제2조의2 제2항 제3호에 따라 「전자금융감독규정」 제23조에 따른 비상대책을 위해 원격접속이 필요한 경우에는 물리적 망분리를 하지 않아도 됩니다. 다만, 이 경우 동 세칙 제2조의2 제3항에 따라 자체 위험성 평가를 실시한 후 <별표7>에서 정한 망분리 대체 정보보호통제를 적용하고 정보보호위원회의 승인을 득하여야 합니다.