업무용 PC는 인터넷망 접근 및 외부메일 차단...
업무망에서는 내부 메일만 사용...중계서버로 파일 송수신은 허용

[보안뉴스 김태형] 금융위원회는 16일 금융권의 관심이 집중됐던 ‘망분리 가이드라인’을 확정·발표했다. 8월 발표 예정이었던 망분리 가이드라인 발표가 당초 계획보다 늦어졌지만 추석 연휴 전에 발표됨에 따라 금융회사들은 연휴가 끝나고 본격적인 망분리 사업을 시작할 것으로 보인다.

금융당국은 지난 ‘3.20 사이버테러’에서 금융전산망 피해의 주요 원인으로 인터넷을 통해 내부시스템에 접근이 가능한 운영단말기 등이 악성코드에 감염돼 정보유출 및 자료파괴를 초래하는 해킹 공격의 경로로 이용되어 발생한 것으로 판단, 금융 보안 강화를 위해 ‘금융전산 보안강화 종합대책’을 발표했다.

이에 따라 전산센터에 대해서는 2014년도 말까지 내부업무망과 외부인터넷망을 원천적으로 차단하는 물리적 망분리를 의무화하고, 본점·영업점은 단계적·선택적으로 추진키로 정했다.

이에 금융회사가 망분리 추진 시 업무용 PC의 인터넷 차단 등, 준수해야 할 사항을 가이드라인으로 마련·배포하여 전자금융기반시설의 보안 강화에 도움을 주고자 이와 같이 금융전산 망분리 가이드 라인을 발표하게 된 것이다.

참고로, 이번 가이드라인에서 제시하지 않은 새로운 기술도 망분리의 기본 원칙에서 벗어나지 않으면 적용이 가능하도록 했다.

주요 내용을 보면 우선, PC 보안 부문에서 업무용 PC는 원칙적으로 인터넷망 접근과 외부메일 차단해야 한다. 인터넷 PC는 업무망 접근을 원천적으로 차단하고 인터넷 및 외부메일은 이용가능 하지만 문서편집은 불가능하고 읽기만 가능하다. 다만 인터넷 PC에서 문서편집 허용 시 중요정보가 유출될 우려가 있어 관리자의 승인 하에 제한적으로 일부 허용은 가능하다.

또한 망분리에 따른 불편 해소를 위해 망간(인터넷망↔업무망) 중계서버 등을 이용하여 파일 송수신은 가능하다.

그리고 이메일 보안은 업무망에서는 금융회사 내부(자체) 메일만 사용 가능하고 외부메일은 인터넷 PC에서만 이용 가능하다. 또 패치관리시스템 보안은 종전에 백신업체 등과 인터넷으로 연결해 운영되던 패치관리시스템은 인터넷과 분리하여 오프라인 방식으로 운영하고비인가된 기기(PC, 노트북 등)가 접속할 수 없도록 통제해야 한다.

금융당국은 이번 ‘금융전산 망분리 가이드라인’ 인쇄·배포는 9월 16일 이후부터 진행되며 전자금융감독규정 개정은 오는 11월에 마무리 될 예정이라고 밝혔다. 금융회사의 전산센터 망분리는 2014년 말까지 완료하고, 본점·영업점은 단계적으로 추진, 은행은 2015년 말, 그 외는 2016년 말까지 완료해야 한다. 본점·영업점 망분리 시기는 규정예고 기간 중 의견수렴을 거쳐 최종 확정할 예정이다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>