금융회사에 대한 보안업체의 원격보안서비스 허용
금융안전과 · 2017-07-20
회신
출처 · 원문 발췌
일부수용
본문
요청 내용
□ (건의배경) 보안제공업체가 금융회사에 대하여 보안관제업무 등에 대한 원격서비스 제공을 희망하지만 관련 규정 미흡으로 고비용이 초래되는 방식으로 업무를 하고 있어 관련 업무 개선이 필요
ㅇ 원격서비스 제공과 관련 대다수 금융회사는 금융회사의 보안로그 등 이용자 정보의 외부유출을 금지하는 규정의 존재를 주장하면서 보안로그도 이에 해당되는 것으로 이해
ㅇ 이에 대하여 보안제공업체의 판단은 전자금융감독 개정안*상 이용자정보 관련 내용은 이용자 정보 관련 내용인 것으로 방화벽 등 보안장비의 로그는 대상이 아닌 것으로 사료됨
* 2011년 전자금융감독규정 개정안상 정보기술 부문에 대한 보안준수 기준 명확화(제13조, 제17조) : 이용자 정보는 부하테스트 등 불가피한 경우만 변환해 사용하고 테스트 종료 후 즉시 삭제해야 함. 또한 DMZ(Demilitarized Zone) 구간에는 암호화된 거래로그 이외의 이용자 정보 등 주요 정보를 저장, 관리할 수 없도록 감독규정이 강화됨
ㅇ 규제와 관련, 금융위와 금감원이 “금융IT부문 자율보안체계 확립방안(‘15.6.18.)”을 배포하면서 규제 패러다임이 타율적 규제에서 원칙중심의 자율규제로 변화하여 그동안의 항목별 세부 규정보다는 금융사 자체보안체계의 운영 방향으로 전환
ㅇ 따라서, 보안제공업체 견해로는 어떤 방법으로도 금융회사가 보안체계를 실질적으로 잘 운영하면 되지만 여전히 많은 금융회사는 보안로그가 외부로 전달될 수 없다며 원격관제, 클라우드 서비스 등과 관련된 IT서비스의 활용을 꺼려하는 상황
ㅇ 한편, 클라우드 서비스는 인프라, 플랫폼, 어플리케이션 활용 등 비용면에서 효과적 서비스 이용이 가능하여 세계적으로 확대되는 추세임에도 국내 금융사의 활용도는 많지 않음
ㅇ 보안관제서비스의 경우에도 해외에는 원격관제로 운영하여 파견관제가 거의 없는 상태로 시만텍 등 글로벌 관제업체는 모든 고객에게 원격 관제서비스를 제공중
ㅇ A보안업체도 해외의 업무처리 사례를 감안하여 금융회사에 비용대비 효과가 우수한 원격관제서비스 모델의 제공을 희망하지만 위와 같은 금융회사의 보수적 자세로 업무 추진 곤란
< * A보안업체의 보안관제사업 현황 >
ㅇ 보안관제사업(써트, CERT, Computer Emergency Response Team)은 원격관제와 파견관제로 구분되며, 보통 보안관제는 24시간 근무로 2명4개조8명의 보안관제요원과 PM(프로젝트 매니저), ,PL(프로젝트 리더), 분석요원등을 포함하여 12명 정도로 구성되어 파견인력비용이 높음
ㅇ 원격관제는 금융회사의 보안로그를 A사 본사에서 수집하여 원거리(Remote)에서 보안관제 및 침해대응을 수행*
* 원격으로 업무를 수행하여 인력 파견 비용부담이 없고 방화벽, IDS(침입탐지시스템,Intrusion Detection Sysem)/IPS(침입방시스템, Intrusion Prevention Sysem), 웹방화벽 등 원하는 보안장비를 선택하여 서비스를 받을 수 있음
ㅇ 파견관제는 A사 보안관제요원이 금융회사에 파견되어 파견 금융회사 내부(Local)에서 보안관제 및 침해대응업무 수행
□ (건의사항) 금융당국이 금융회사에 대하여 보안 관제와 클라우드 관련 원격서비스 이용이 가능하다는 점과 이용시 유의사항을 포함한 “원격 보안서비스 이용가이드(가칭)”의 배포 등으로 금융회사의 원격 보안서비스 선택과 운영이 가능하도록 조치
ㅇ 만일, 금융당국이 이용자 정보(개인 정보)를 외부에서 원격으로 관제하는 등 외부 제공서비스가 곤란하다고 하는 경우 이용자 정보는 금융회사 내부에서 처리하고, 나머지 정보는 금융회사 회부에서 원격으로 처리하는 방안을 검토할 필요
※ (관련법령 또는 지도) 전자금융감독규정 제13 및 제17조, 금융위 및 금감원 합동 보도자료(제5차 금융개혁회의 개최결과, 금융IT부문 자율보안체계 확립 방안, ‘15.6.18.)
판단 이유
□ 금융회사의 로그정보를 분석하는 보안시스템 또는 보안솔루션은 전자금융감독규정(이하 ‘규정’)상 정보처리시스템*에 해당되며,
* 규정 <별표 2>의 2.다(정보보호시스템 분류) : ‘로그 관리·분석 툴’
ㅇ 정보처리시스템의 경우 규정 제15조 제2항 제4호에 따라 원격관리가 원칙적으로 금지되어 있지만, 원격관리가 불가피한 경우 전용회선 또는 이와 동등한 보안수준을 갖춘 가상의 전용회선 사용 및 접근통제 등을 포함한 원격접속 보안대책을 수립·운용시 원격관리가 가능함을 알려드립니다.
ㅇ 다만, 원격관리가 규정상 불가피한 경우에 한해 가능하더라도, 원격관리의 허용 여부는 전적으로 금융회사별 보안정책에 따라 다를 수 있으므로 이점 업무에 참고하시기 바랍니다.
※ 참고로, 보안 가이드는 금융회사 공통의 수요에 의해 금융보안원, 금융회사 등이 함께 자율적으로 마련하는 것으로서, 금융보안원에 문의 결과 현재까지 ‘원격 보안서비스 관련 가이드’에 대한 수요는 없는 것으로 파악되었으며, 앞으로도 정기적으로 수요조사를 실시하여 필요시 추진할 수 있도록 하겠습니다.
□ 클라우드 활용 관련 건의사항에 대하여, 규정 제14조의2 제1항에 따라 개인의 고유식별정보 및 신용정보법상 개인신용정보를 처리하는 시스템은 비중요정보처리시스템으로 지정할 수 없어 클라우드 이용이 불가능합니다.
ㅇ 다만, 귀사의 건의내용과 같이 로그정보 중 개인의 고유식별정보 및 개인신용정보는 금융회사 내부 시스템을 통해 처리하고, 그 이외의 정보는 비중요정보처리시스템 지정을 통해 클라우드 활용이 가능할 것으로 판단됩니다.
ㅇ 클라우드 시스템(비중요정보처리시스템)도 규정상 정보처리시스템으로서, 규정 제15조 제2항 제4호에 따라 원격관리가 불가피한 경우에 한해 원격관리가 가능합니다.
ㅇ 한편, 비중요정보처리시스템은 규정 제14조의2 제2항 및 제3항에 따라 금융회사 자체 정보보호위원회의 심의·의결을 거쳐 지정할 수 있으며, 지정한 날로부터 7일 이내에 관련 보고서를 금융감독원장에게 제출해야 합니다.
관련 법령
4. 영업·업무규제 >업무영역>기타
연결
관련 근거
더 찾아보기
기관 원문
금융안전과에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.