[가이드] 금융회사 침해사고 준비도 가이드 - 출처 : 금융보안원(2016.12.21)

https://www.fsec.or.kr/bbs/detail?menuNo=222&bbsNo=5692

금융보안원

 

1. 침해사고 준비도란? 🛡️

침해사고 준비도란, 금융회사에서 사이버 공격이나 시스템 침해사고가 발생했을 때 문제를 빠르게 식별하고 대응하기 위해 미리 준비해두는 계획과 시스템이에요. 즉, 사전적으로 필요한 인프라와 조직적 역량을 갖추는 것을 의미하죠. 사고 대응 체계를 잘 준비해두면, 사고 발생 시 피해를 최소화하고 빠르게 원인 규명과 복구를 할 수 있어요.

예시 📝

• 회사에서 네트워크 해킹 시도가 있었을 때, 네트워크의 접근 기록(로그)을 통해 공격자 IP를 추적하고, 이들이 어떤 경로를 통해 접근했는지 신속히 파악할 수 있어요. 이렇게 평소에 침해사고 대비 체계를 마련해두면 실제 사고 발생 시 신속하고 효과적인 대응이 가능해요.

---

2. 디지털 포렌식이란? 🕵️‍♂️🔍

디지털 포렌식은 침해사고가 발생했을 때 그 사고의 원인을 규명하고, 법적 증거를 확보하는 과정을 말해요. 보통 사건의 원인을 파악하고, 이후 사고의 재발을 방지하기 위한 목적도 있죠. 물리적인 범죄 현장 조사처럼, 디지털 포렌식은 시스템, 서버, 네트워크 등에서 데이터를 수집하고 분석하는 역할을 해요.

예시 🔍

• 특정 직원이 회사의 내부 네트워크에서 의심스러운 활동을 했다고 가정해봐요. 이때 디지털 포렌식을 통해 그 직원의 접근 기록, 파일 다운로드 기록, 네트워크 통신 내역 등을 분석해 문제의 원인과 발생 과정을 파악할 수 있어요.

  ---

 

3. 금융회사의 침해사고 준비 주요 사항 📋

3.1 디지털 증거 수집 절차 🗂️

디지털 증거란 컴퓨터와 네트워크 활동에 대한 기록으로, 침해사고 발생 시 이를 통해 사고의 원인과 방법을 파악할 수 있어요. 금융회사는 시스템 로그나 네트워크 트래픽 로그와 같은 데이터를 보존하고 관리해야 해요.

1. 로그 보존: 시스템과 네트워크에서 발생하는 모든 활동을 로그로 남기고 법적 요구에 따라 보관 📦
2. 증거 수집: 필요 시 디지털 증거를 적법하게 수집하고 보존 🔒
3. 무결성 보장: 수집된 데이터가 위변조되지 않도록 해시값 생성 등 무결성을 보장해야 해요 ✅

• 예시: 회사의 주요 서버에 접근하려는 외부 공격자가 있었다고 하면, 서버에 남아 있는 로그 기록을 통해 공격자가 언제, 어디서, 어떤 IP로 접근을 시도했는지 분석할 수 있어요.

  ---

 

3.2 네트워크 구간 분리 🖥️➡️🌐

금융회사에서는 네트워크를 구간별로 나눠 중요도에 따라 접근을 제한해야 해요. 네트워크 구간 분리는 침해사고가 발생했을 때 내부 시스템까지의 영향을 최소화하기 위해 꼭 필요하죠.

1. 네트워크 나누기: 내부망, 외부 인터넷망, DMZ(비무장 지대) 등 네트워크 구간을 분리 🚧
2. 접근 제한 설정: 내부망에 대한 접근 권한을 최소한으로 관리하고 모니터링 🛑
3. 로그 기록 및 관리: 접근 기록을 모두 남겨 사고 발생 시 추적할 수 있도록 관리 📜

• 예시: 인터넷에서 내부 서버로 직접 접근하지 못하도록, 내부 서버는 외부에서 접근이 제한되는 내부망에 위치하고, 인터넷망과 DMZ 영역을 거쳐야만 접근이 가능한 구조로 만들어 두는 거예요. 이렇게 구간을 나누면 공격자가 접근할 수 있는 경로가 복잡해지고, 통제도 쉬워집니다.

  ---

 

3.3 디지털 포렌식 전문 인력과 도구 🤵‍♀️🔧

침해사고 발생 시 이를 조사하고 해결할 수 있는 포렌식 전문 인력과 전문 도구가 필요해요. 포렌식 전문 도구는 데이터를 분석하고 사고의 원인을 파악하는 데 중요한 역할을 해요.

1. 전문가 확보: 내부적으로 포렌식 전문가를 양성하거나 외부 전문가를 확보 🤵‍♂️
2. 도구 마련: EnCase, FTK 같은 신뢰성 있는 포렌식 도구를 보유하고 운영 🛠️
3. 정기적인 교육: 포렌식 인력들이 최신 기술과 공격 방식에 대응할 수 있도록 교육 제공 📚

• 예시: "EnCase" 같은 도구는 디지털 증거를 수집하고 분석할 때 사용하는 툴로, 컴퓨터 안에 어떤 파일이 어떻게 사용되었는지 추적하고 증거로 보존할 수 있게 해 줘요.

  ---

 

4. 지속적인 교육과 관리 📚👥

침해사고 발생 시 정확하게 대응하기 위해서는 지속적인 직원 교육이 필수적이에요. 정보보호 담당자뿐만 아니라 모든 직원이 기본적인 보안 인식을 갖추고 있어야 사고 발생을 방지할 수 있죠.

1. 정보보호 교육 계획 수립: 침해사고 대응 및 보안 인식 교육을 주기적으로 계획 🗓️
2. 주기적 교육 실시: 전 직원 대상 보안 교육 및 인식 제고 🎓
3. 침해사고 대응 훈련: 침해사고 발생을 가정한 모의 훈련을 통해 대응 절차를 숙지 🏋️‍♂️

• 예시: 피싱 이메일을 받았을 때, 직원들이 이 이메일을 의심하고 열지 않도록 교육하는 것이 중요해요. 이를 통해 악성코드 유입을 막고 사고를 예방할 수 있죠.

  ---

 

5. 법적 요구사항 준수 📜⚖️

금융회사에서는 전자금융거래법, 개인정보보호법 등의 법적 요구를 반드시 준수해야 해요. 예를 들어, 로그 기록을 법에서 정한 기간 동안 보존해야 하고, 디지털 증거가 법적으로 인정받을 수 있도록 관리해야 하죠.

1. 법적 요구 확인: 관련 법령에서 요구하는 보안 조치를 확인하고 📜
2. 기록 보존: 법적 요구에 따라 데이터 보관 및 보안 관리 🗂️
3. 정기적 점검: 법적 요구 준수 여부를 주기적으로 점검하고 개선 ✅

• 예시: 전자금융거래 기록은 최소 5년 동안 보존해야 합니다. 예를 들어 고객이 언제 얼마를 이체했는지 등의 정보를 정해진 기간 동안 보관해야 하며, 이는 사고 발생 시 책임을 지고 대응하기 위해 꼭 필요합니다.