|
금융IT |
<초점>하반기 금융IT 보안정책 해법은고려대 김인석 교수 “6대 과제 및 방향” 제안 |
|
강화된 법규 및 감독규정 대응에 적절 평가
작년 극심한 IT 보안 취약점을 노출한 금융권은 올해 보다 강화된 전자금융거래법 및 개정 전자금융감독규정을 적용받게 됐다.
또 금융감독원 IT검사국 조직이 바뀌고, 지난주부터 농협 특별감사가 시작됐다. 농협을 시작으로 금융회사 IT검사는 확산조짐을 보인다.
그러나, 여전히 은행 등 금융회사는 자사 보안정책을 어떻게 가져가야 할지 고민만 늘고 있다.
본지는 지난 4월 5일 고려대 김인석 교수가 금융정보시스템 연구회에서 발표한 ‘금융IT 보호를 위한 핵심 고려사항’ 내용을 입수, 하반기 금융회사 보안정책을 점검해 봤다.
김인석 교수는 한국은행, 금융감독원 IT검사국을 거쳐, 고려대 정보보호대학원에 재직 중이다.
◆전산조작 및 프로그램 조작 = 이 행위는 전산자료 및 프로그램을 조작해 발생한 중대한 사고로 전자금융거래법 21조 ‘금융회사 임직원이 고의로 전산자료 및 프로그램을 조작해 발생한 사고로 금융기관 또는 금융거래자에게 손실을 초래하는 등 물의를 일으키는 행위’ 규정 위반이다.
위반시 금융회사 임직원의 해임권고 및 해당기관에 대해 기관경고 이상의 제재가 가해진다.
금융사는 이를 예방하기 위해 전산원장관리, DB접근 통제 방안, 프로그램 변경 통제를 시행해야 한다.
전산원장 관리 방식은 여러 가지로 대응 가능하나, 정리하면 변경대상 및 방법, 변경 권한자 지정, 변경전후 내용 자동기록 및 보존, 변경내용의 정당여부에 대한 제3자 확인 등을 포함한다.
대차대조표 등 중요 자료의 계상액과 각종 보조부, 거래기록, 전산원장파일의 계상액에 대한 상호일치 여부를 전산시스템을 통해 주기적으로 확인하는 것도 전산원장 관리 중요 포인트가 된다.
특히 비온라인 거래의 경우(배치작업, 직접적인 DB 수정 등)의 경우, 회계처리 프로그램과 연계돼 있지 않아 계정과목 불일치가 발생해 이들을 보정작업을 통해 계정과목을 일치시켜야 한다.
이 밖에도 전산원장은 SQL을 이용한 직접적인 변경을 금지하고, 정형화된 온라인 프로그램에 의해서만 수정되도록 해 계정처리 오류를 방지하고 사고위험을 제거해야 한다.
DB접근 통제방안 관련, 김인석 교수는 통합 PC보안, DB보안, 영역보안, 문서보안, DB보안 게이트웨이 설치 등을 제안했다.
다소 생소한 영역보안은 PC내 보안영역을 구성하고, 허가된 DB접속 툴만 허용하는 것이다. 아울러 DB데이터 저장시 강제로 보안영역으로 저장토록 유도하고, 출력 및 화면캡처도 제어된다.
김인석 교수는 ‘영역보안의 경우, 주요 정보사용 본부부서와 CRM, 대리점 등으로 확대 적용’하도록 강조했다.
DB보안 게이트웨이는 사용자 접근통제 및 권한관리 방식으로 실질적인 통제를 위해 ‘쿼리 명령어 통제’까지 이뤄져야 한다고 김 교수는 제안했다.
금융회사는, 실제로 상품처리 DB 같은 경우, 화면출력시 마스킹 ‘*’ 처리를 하도록 보안을 강화해야 한다.
프로그램 변경 통제 방식은 금융회사의 보안정책에 의해 직접적으로 수행돼야 한다.
프로그램의 ▲종류 및 등록-변경-폐기 ▲변경전후 내용 기록 관리 ▲변경 필요시 해당 프로그램을 개발 또는 테스트 시스템으로 복사 후 수정 ▲운영시스템 적용은 충분한 테스트 및 관련 책임자 승인 후 실시할 것 등 절차를 수립해 운용한다.
아울러 프로그램의 ▲반출, 실행 프로그램의 생성 및 운영시스템 등록은 해당 프로그램 담당자 이외의 자가 수행할 것 ▲OS, DBMS 등 시스템도 애플리케이션 수준의 관리를 할 것 ▲설명서, 입출력 기록 설명서, 목록 및 사용자, 운영지침서 등을 문서로 관리할 것 등 정책이 필요하다고 김인석 교수는 강조했다.
◆접근매체 위변조 및 전송정보 보호 = 접근매체의 위변조 및 도용으로 인한 사고, 계약체결 또는 거래 지시의 전자적 전송이나 처리과정에서 발생한 금전적 사고를 말한다.
금전적 손해규모가 50억원 이상인 경우, 제재수준을 기관경고 이상까지 받을 수 있다.
현행 전자금융거래법 2조 10호에는 접근매체에 대해 ▲가. 전자식 카드 및 이에 준하는 전자적 정보 ▲나. 전자서명 생성정보 및 공인인증서 ▲다. 금융기관 또는 전자금융업자에 등록된 이용자 번호 ▲라. 이용자의 생체정보 ▲마. 가목 또는 나목의 수단이나 정보를 사용하는 매체 등으로 규정하고 있다.
이들 매체에 대해 카드 복제방지, 정보보호, 비밀번호 관리 등에 나서야 한다고 김인석 교수는 강조했다.
◆재해, 장애복구 및 비상대책 = 금융회사가 핵심업무를 지원하는 전산시스템의 재해복구 목표시간을 초과해 중단하면 전자금융감독규정 제23조 8항을 위반하게 된다.
재해복구 지연시간(1시간~24시간)에 따라 제재수준을 차등화 해 24시간 이상 복구를 못할 경우 직무정지 및 기관경고 이상의 제재가 가능하다.
이와 관련 대응책은 비상대책 등을 수입, 운용하고 ‘국가위기관리기본지침’에 따라 위기대응 행동 매뉴얼을 수립하고 이를 금융위원회에 통보한다.
아울러 매년 1회 이상 재해복구센터로 실제 전환하는 훈련을 실시하고, 그 결과를 금융위에 통보하는 방식으로 해소한다.
훈련결과 보고서에는 ▲훈련개요 ▲시나리오 및 훈련절차와 방법 ▲훈련결과 ▲미비점 및 보완 등 사후 개선이행 계획 제출 등 내용으로 구성한다.
이에 앞서 금융회사가 업무지속성계획(BCP)를 확보, 운용하고 재해복구센터를 구축해야 한다.
현행 많은 금융회사가 이를 시행중지만, 장애 및 재해상황에 대응하지 못한다는 감독당국의 지적에 따라 비상훈련의 비중이 높아질 것으로 예상된다.
◆해킹에 의한 정보유출 = 해킹 등으로 인해 고객정보가 유출된 경우 전자금융감독규정 제4절 위반으로 100만건 이상 유출시 직무정지 및 기관경고 이상의 제재가 가능하다.
금융회사 내부 정책 측면에서 해킹 방지대책을 수립하고, 책임자 지정, 해킹피해대처, 무선통신망 설치시 준수사항 점검, 악성코드 감염 방지대책, 이용자의 전자적 장치 보호, 공개용 웹서버 관리대책 등을 마련해야 한다.
아울러 김인석 교수는 침해사고 유형별 보안대책을 마련해 시행할 것을 권고했다.
예를 들어 외부에서 내부로의 비안가 접속의 경우, 모의해킹, 취약점 점검, 소스코드 보안, 보안관제, 방화벽, IDS, IPS, DDoS 차단, DB 접속탐지 툴 등 네트워크 보안시스템, 위험관리시스템 등 구축을 말할 수 있다.
각종 해킹 유형에 대한 금융회사의 IT시스템적 대응은 어느 정도 완성됐다고 볼 때 외부 공격 방어를 위한 정책 측면의 강화가 필요해 보인다.
◆사고위협 대응 = IT사고가 발생하지 않은 경우라도 IT관련 법규 위반으로 사고발생 위험이 높은 경우를 말한다.
전자금융거래법 제21조는 ‘안정성 확보 의무’로 이를 규정하는데, 위반시 임직원의 해임권고 및 해당기관에 대해서는 기관경고 이상의 제재가 가해진다.
이같은 사고위협 대응방식은 크게 관련조직 및 요원 배치, 접근통제 강화로 강화하고, 접근통제는 서버접근, 외부직원 등 다각적 방향에서 체계를 마련해야 한다.
금융회사는 담당자 유고시를 대비한 백업체제를 구축하고, 순환배치와 명령 휴가제도를 활용해 고차훈련, 부정행위 방지, 사후검증 등에 나서야 할 것으로 보인다.
접근통제 강화는 고객원장 및 정보, 거래내역, 조회기록 등 중요파일에 대해 DR센터와 별도의 장소에 소산을 해 장애에 대응하는 방향으로 정책을 수립한다.
아울러 전산원장, 프로그램, 고객정보 등 전체 전산자원에 대한 접근통제를 실시한다.
우선, 김인석 교수는 서버접근 통제 관련 ▲클라이언트 구간(통합 PC보안) ▲네트워크 구간(방화벽, 계정통제 감사서버) ▲시스템 구간(OTP 인증 서버보안) ▲모니터링(감사수행) 등 체계적 접근을 주문했다.
계정통제 감사서버는 모든 시스템의 텔넷 접속에 대한 권한을 부여하는 서버로, 사용자 FTP 서비스에 대한 통제정책 강화 일환으로 이 감사서버를 경유토록 한다는 것이다.
특히 텔넷 접속 중 고객정보 조회시에는 이 서버에서 ‘경고’ 메시지를 보내고, 운영서버 내 위험명령어(rm, su, chmod, mv 등) 수행로그를 적극 체크하게 된다.
외부직원에 대한 통제는 계약시(또는 투입시), 투입중, 철수시(또는 계약 종료시) 등으로 나눠 담당팀이 밀착하도록 하는 것이 적절하다고 김인석 교수는 제안했다.
예를 들어, 투입시에는 업무지원부가 외부직원의 노트북 및 보안프로그램 설치 의무를 강제토록하고, 투입중에는 업무팀이 IP 방화벽 정책을 준수토록 지도하면서, 보안팀이 이를 수시 점검하도록 한다. 철수 외주직원에 대한 권한삭제, PC포맷, 완료확인서 발급 등 사후관리도 처리한다.
◆시스템 가동기록 미 보관 및 훼손 = 정보처리시스템 가동기록을 보본하지 않았거나 기록을 삭제, 훼손한 경우 전자금융감독규정 제13조 제1항 제11호 및 제4항을 위반하게 된다.
이를 위반시 금융회사는 주의적 경고(견책) 이상, 기관주의 이상의 제재가 가해진다.
금융회사는 전자금융감독규정 제13조, 제15조, 제27조, 제33조 등을 숙지, 보관 대상 기록의 유형이나 방법을 즉각 시행해야 한다고 김인석 교수는 제안했다.
아울러 기록보관 관련 법에 의거, 5년 보관 내용과 1년 보관 내용을 준수하면, 관련 규정을 충족할 것으로 보인다.
업계에서는 고려대 김인석 교수의 이번 제안이, 금융회사가 전자거래 기본법 및 전자금융감독규정의 대체적인 내용을 소화중이지만, 변경된 법규 대응에 혼선을 예방하는 좋은 가이드라인이라는 평가를 보내고 있다.
<김동기 기자>kdk@bikorea.net
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
