안녕하세요. 금융회사의 경우, 망분리 의무로 인해 내부망/인터넷망이 구분되는데요.
신규 서비스에서 이메일 인증을 하게 되는데요.. 문제는 해당 개발을 내부망에서 진행할 예정이여서요. 내부망에 접속이 필요한 외부 URL를 방화벽을 통해 예외 처리하고, 프록시를 태워 연결을 하는 논의가 있었는데, 이런식으로 개발 목적으로 내부망과 외부망을 연결해도 괜찮을 지 문의드립니다...
그리고 혹시, 해당 방법이 아닌 타 금융사에서는 어떻게 테스트 하시고, 서비스를 오픈하시는 지 너무나 궁금합니다.. 마냥 안된다고 할 수도 없고, 그렇다고 망분리 규정에 어느 선까지 허용되는 지가 가늠이 안가기도 하고 어렵네요..
바쁘시겠지만, 조금이나마 알고 계신 부분을 나눠주셨으면 감사드리겠습니다.. (_ _)
7개의 답변이 있습니다.
대부분 정책관련된 이야기는 다 해주신것 같고.
외부 URL이 연결된 외부 서버에 대해서 외부 발신과 수신 포트를 차단해 놓으시고
내부 서버와 통신을 망연계 솔루션쪽을 통해서 하시면 되는 것으로 알고 있습니다.
금융권에서 보통 망분리를 하게 되면, 특정 외부 통신을 해야되는게 법으로 정해져 있습니다.
제가 알기로 이메일 인증 같은 경우는 망분리-망연계 예외 조항에 해당 사항이 없어보입니다.
즉, 이메일 인증이 필요한 시스템이 서버 내부에 있을 것 같진 않아보입니다.
보통 시스템은 WEB-WAS- DB 이런식으로 연결을 하게 되는데, WEB은 외부 DMZ구간에 두고, WAS와 DB는 내부에 두게 되는데 그렇게 되면, 만약 인증을 하게 되면 외부 WEB에서 인증을 하는 식으로 해야지 내부의 WAS서버나 DB서버에서 그걸 인증하게 된다고 하면 그런 시스템은 제대로 CC인증을 받은 솔루션이나 제품이 아니라는 것으로 생각됩니다.
즉, 이메일 인증이 필요한 시스템은 내부에 있을 필요도 없고 그렇게 세팅을 할 이유도 없다는 이야기입니다.
한번 더 확인해서 만약 이메일 인증이 내부서버에서 이뤄줘야 한다고 하면 다시 한번 그런 시스템은 고려하는게 좋아 보입니다.
제가 만약 해당 회사의 보안담당자이면 이메일인증때문에 외부와 연계한다는 건 허용하지 않을 것같습니다.
프록시를 통하여 연결하는 방법은 문제가 없으나
보안의 홀 부분에 대한 대책이 필요할 것 같습니다.
방화벽에서 "필요한 외부 URL를 방화벽을 통해 예외 처리" 부분만으로는 문제가 보여집니다.
●프록시에서 장비가 문제가 생기면 모든 서비스 중단이되면 큰 문제
●사내 내부망에 대한 데이터 위험 노출 등
보통은 망연계 및 VPN, 가상화망을 통하여 별도의 망을 구축하여 테스트 및 인증 메일서머 망을 별도로 구축하여 사용하는것이 일반적입니다.
인프라 특성상 별도의 망을 구성하기 어려울 경우에는 추가적인 보안 솔루션을 검토하여 "인증 메일서버"를 운용하는게 좋을 것 같습니다.
이메일 인증을 내부망의 서비스에서 하기 위한 인터넷망과 내부망 통신이 필요한 상황으로 보이는데요.
제가 알기로는 연결 자체의 문제보다는 연결 시 발생할 수 있는 보안 설계가 되어 있으면 됩니다.
특정 통신만 허용, 주기적인 모니터링, 통신에 대한 기록 등의
보안 설계가 함께 고려되면 될것 같습니다.
앱이나 웹을 통한 이체, 예금 통장 개설 등 모든 금융 업무도 결국 인터넷 연결이 아닌가요?
내부 메일 서버를 통한 발신 전용은 상관 없어 보입니다만...
메일 인증 받을 서버가 회사 전용 메일 서버일 경우라면...
해당 메일 서버에 대한 서비스를 오픈해서 연결하거나, 내부 망연계를 통한 처리 방법을 고려해 볼 수 있지 않을까 싶네요.
임의의 외부 메일 서버가 아닌 사내에서 관리하는 내부 메일 서버와의 연계라면 보안 취약점 문제를 최대한 통제할 수 있을 거라 생각되고...
이 조차도 법적으로 문제가 된다면 업무적으로 인터넷도 네트워크도 사용해서는 안되는 것이 아닐까 싶고요.
금융권에서는 금융거래와 관련된 정보보호 강화를 위해 망분리가 중요한 보안 규정 중 하나이고 주로 내부망과 인터넷망 간의 물리적, 논리적인 연결을 제한하여 외부에서 내부로의 불법적인 접근을 방지하고 있다는 사실은 인지하고 있을 것입니다.
(TMI) 과거 2013년 3.20 사태로 금융전산마비 사고가 발생하고 금융권은 이 시기에 망분리(물리적, 논리적)에 대한 개념을 처음으로 정립했습니다. 그 당시 같은해 9월, 금융감독원이 금융전산 망분리 가이드라인을 배포했습니다. 보도자료도 배고하고... 그 여파로 정부 주도 전 공공기관 대상 정보보안 및 개인정보보호 특별 점검을 받았던 기억나네요. ㅠㅠ
*** 망분리 관련 규정(전자금융감독규정)을 조금 살펴보면, 특히, 전자금융감독규정시행세칙 망분리 예외조항을 자세히 숙지하시면 망분리 규정에서 어느 선까지 허용되는지 가늠할 수 있을 것입니다. (더 자세한 사항은 규정 참고하세요.)
제15조(해킹 등 방지대책)
(논리적 망분리) 내부 통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리, 차단 및 접속금지. 다만, 다음 각 목의 경우는 그러지 아니한다.
(물리적 망분리) 전산실 내에 위치한 정보시스템과 해당 정보시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부 통신망으로부터 물리적으로 분리할 것, 다만 다음 각 목의 경우에는 그러지 아니한다.
*** 논리적 망분리, 물리적 망분리 내용이 나뉘어 져 있지만 해당 내용은 동일하여 하나만 기재합니다.
가. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 연구, 개발 목적의 경우(단, 금융회사 또는 전자금융업자가 자체 위험성 평가를 실히한 후 금융감독원장이 정한 망분리 대체 정보보호통제를 적용한 경우에 한한다)
나. 업무상 불가피한 경우로서 금융감독원장의 확인을 받거나 인정하는 경우
*** 망분리 예외조항 (이하 내용은 자체 편집한 내용입니다.)
(논리적 망분리)
1.내부 통신망에 연결된 단말기에 업무상 필수적으로 외부기관과 연결하는 경우(다만, 이 경우 필요한 서비스번호(port)에 한하여 특정 외부기관과 연결할 수 있다.)
2.전용회선과 동등한 보안수준을 갖춘 통신망을 이용하여 외부망으로부터 내부 업무용시스템으로 원격접속하는 경우
(물리적 망분리)
1.업무상 외부통신망과 연결이 불가피한 다음의 정보시스템만, 필요한 서비스번호(port)에 한하여 연결할 수 있다.
가. 전자금융업무의 처리를 위하여 특정 외부기관과 데이터를 송수신하는 정보시스템
나. DMZ구간 내 정보시스템과 실시간 데이터를 송수신하는 내부통신망의 정보시스템
다. 다른 계열사와 공동으로 사용하는 정보시스템
2.비상대책에 따라 원격 접속이 필요한 경우
3.전산실 내에 위치한 정보시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기와 외부통신망과의 연결 구간, 내부 업무용 시스템과의 연결 구간을 각각 차단한 경우
공통 예외조항(논리적, 물리적)
제2조의2(망분리 적용 예외)
금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 망분리 대체 정보보호통제를 적용하고 정보보호위원회가 승인한 경우에 한하여 적용한다.
또, 하나 금융회사 내부망에서 챗GPT를 쓸 수 있는지? 궁금할 수도 있고 아닐수도 있는데 TMI로 언급하자면...
■챗GPT 모델을 내부 시스템에서 들여오지 않는 한, 외부망 연결이 필요하므로 망분리 규정에 저촉된다. 따라서 망분리 규정 예외에 해당될 필요가 있다. 해당 규정인 정보처리를 위탁하는 경우 개인고객의 고유식별정보는 암호화 등의 보호조치를 해야하며, 특히 국외로 이전되지 않도록 해야한다는 금융회사의 정보처리 업무 위탁에 관한 규정에 위배되지 않아야 한다.
하지만, 문의글에서 처럼 논의가 된 서비스 개발 또는 테스트 목적으로 예외 처리 및 프록시를 통한 연결은 제한된(승인된) 환경을 만들어 일부 완화하여 진행하고 있습니다.
■외부 URL은 예외 처리를 통해 특정 URL에 대한 연결을 허용하고, 프록시 서버를 사용하여 외부와의 통신을 가능하게 합니다.
■요즘 하는 방법 중에 가상환경이나 별도의 개발 서버를 통해 완전히 격리된 개발 환경을 구축하여 폐쇄망과 인터넷망을 물리적으로 연결하지 않고도 개발을 진행합니다.
■테스트 시에는 실제 운영 환경과는 다르게 (승인된 환경에서 일부 제한을 완화하여) 보안 규정을 준수하면서 일시적으로 특정 연결을 허용 및 완화하여 진행합니다.
접근방식은 금융사 마다 조금씩 다를 수 있습니다. 보통은 격리된 환경에서 개발 및 테스트를 하고, 필요한 경우에만 특정 연결을 허용하는 방식으로 진행합니다.
중요한건, 금융기관은 망분리 규정을 엄격하게 적용하고 있으므로 어떤 방법을 선택하든지 반드시 개발사와 금융사 간 약속된(승인된) 방식으로 진행을 해야 추후 발생할 수 있는 문제에 대한 책임 등에서 조금은 자유로울 수 있을 것입니다. 관련한 보안교육도 철저히, 보안서약서도 필수 입니다. ^^
참고로, 최근에는 금융 망분리 규제 개선이 필요하다. 금융권 망분리 도입 필요한가, 제로트러스트보안 어떻게 구축할 것인가 등 등 이슈도 있네요...
앵그리파파 | 4달 전
전자금융감독 규정 보안 부분을 잘 정리한 내용이 있어 많은 도움이 될것 같아 공유하니 참고하세요.
https://brunch.co.kr/@sokoban/36