[가이드] 연구·개발 목적의 망분리 예외 적용에 따른 보안 유의사항 - 출처 : 금융보안원(2023.03)

https://www.fsec.or.kr/bbs/detail?menuNo=222&bbsNo=11214

금융보안원

연구·개발 목적의 망분리 예외 적용: 보안의 기초부터 이해하기 🔐🛠️

최근 금융권에서는 연구·개발 목적으로 망분리 규제를 완화하면서 금융혁신을 촉진하려 하고 있어요. 이는 신기술 활용을 통해 금융서비스를 더 발전시킬 수 있는 기회를 제공하지만, 보안사고의 위험이 증가할 수도 있다는 문제도 함께 발생합니다. 오늘은 이러한 망분리 예외 적용에 따른 주요 보안 유의사항을 살펴볼게요! 💡🔍

1. 망분리란 무엇인가요? 🌐🚫

망분리란 내부망(안전한 네트워크)과 외부망(인터넷)을 분리해 해킹, 악성코드 등의 위험을 줄이는 것을 말해요. 예를 들어, 금융 회사 내부망에서는 고객의 금융정보를 안전하게 보관하기 위해 외부와의 연결을 차단하는 것입니다. 하지만 연구·개발을 위해서는 외부 자료와의 상호작용이 필요하기 때문에 예외적으로 망을 연결할 수 있어요.

2. 연구·개발 목적 망분리 예외의 위험 🚨⚠️

연구·개발 환경에서는 망분리 예외를 적용하면서 발생할 수 있는 몇 가지 보안 위협이 있어요:

• 소스코드 유출: 연구·개발 단말기가 외부 인터넷에 연결되면 소스코드가 유출될 위험이 있습니다. 해커가 유출된 소스코드를 분석하여 보안 취약점을 찾고 공격할 수 있죠. 😱📂
• 취약한 오픈소스 사용: 누구나 접근할 수 있는 오픈소스 소프트웨어를 사용할 때 보안 취약점이 포함되어 있을 수 있어요. 이를 제대로 검토하지 않고 사용하면 내부망에 큰 위험을 초래할 수 있습니다. 🐞🔧
• 내부망으로의 보안 위협 확산: 연구·개발망과 내부망 간 정보 송수신이 가능하다면, 악성코드가 내부망으로 전이될 가능성이 커져요. 이로 인해 기업 전체가 피해를 입을 수 있습니다. 🤒🖥️

---

보안성 검토 기준 테이블 📋🔒

다음은 연구·개발 목적의 망분리 예외 적용 시 금융회사가 따라야 하는 보안성 검토 기준을 의무 사항과 권고 사항으로 구분한 내용입니다. 😊✨

보안영역	보안성 검토 기준	의무사항	권고사항
연구·개발망 보안 🖥️	외부 인터넷 연결 제한	외부 인터넷 연결 시 정보보호위원회 승인 필요	연구·개발망에서 중요한 정보 처리 금지 ⚠️
	연구·개발망과 내부망 독립적 구성	내부망과 물리적으로 분리된 독립적 네트워크 구축 🔗	방화벽, 침입방지 시스템(IPS) 설치 🔥
소스코드 보호 📂	중요 소스코드의 외부 반출 금지	소스코드 반출 시 정보보호책임자의 사전 승인 필요 🔐	소스코드 저장소 접근 시 다중 인증 적용 ✅
	소스코드 저장소 보안관리	소스코드 접근 시 접근 내역 기록 및 관리 📝	정보유출방지 솔루션(DLP) 적용 권고 🛡️
접근 통제 🔑	연구·개발망의 접근 통제 설정	최소한의 권한만 부여하여 접근 통제 제한 🚫	접근 권한 변경 시 주기적 검토 및 갱신 🔄
무선통신망 보안 📡	무선통신망 사용 시 보안 대책 적용	무선 접속 시 인증 및 보안 프로토콜 설정 📶🔒	무선 통신망 관련 장비 주기적 보안패치 적용 🔧
사고 대응 🚨	침해사고 발생 시 디지털 증거 보존	침해사고 대응 절차 마련 및 증거 보존 📂🔍	연구·개발망 모니터링 범위 확대 및 결과 검토 👀

---

3. 금융회사에 필요한 보안 대책 📌🛠️

금융권에서는 최근 오픈소스 활용과 디지털 혁신이 가속화되고, 내년부터는 연구·개발 분야의 망분리 규제가 개선될 예정이에요. 따라서 오픈소스 관리 미흡으로 인한 보안사고를 사전에 예방하고, 안전한 오픈소스 활용 환경을 조성하는 것이 매우 중요해졌어요. 🛡️📊

금융감독원과 금융보안원은 이러한 필요성을 인식하고 **「금융분야 오픈소스 소프트웨어 활용·관리 안내서」**를 제정했어요. 이 안내서는 비규제 성격으로, 금융회사의 자율 보안 체계를 강화하고 안전하게 오픈소스를 활용할 수 있도록 돕기 위해 만들어졌습니다. 🤝📜

주요 보안 대책 🔧🔍

1️⃣ 유해 사이트 차단: 연구·개발망에서 악성코드가 유입될 수 있는 유해 사이트를 차단해요. 예를 들어, 해킹에 사용될 수 있는 웹사이트나 파일공유 사이트(P2P) 등을 차단합니다. 🚫🌐

2️⃣ 망분리 대체 정보보호 통제 적용: 망분리 예외 적용 시에도 망분리 대체 보안 통제를 통해 안전하게 네트워크를 관리해야 해요. 🔗🛡️

3️⃣ 정보보호위원회 심의: 연구·개발망의 망분리 예외 적용 시 정보보호위원회의 심의를 거쳐야 합니다. 이를 통해 보안 위협을 충분히 검토하고 완화할 수 있어요. ⚖️✅

---

결론 📌✨

연구·개발 목적의 망분리 예외는 금융권의 디지털 혁신과 신기술 활용에 많은 가능성을 열어주지만, 동시에 보안 위험을 동반합니다. 이를 안전하게 운영하기 위해서는 보안성 검토 기준을 철저히 따르고, 필요시 추가적인 보안 대책을 마련해야 합니다. 💪🔐