금융분야 클라우드 환경 구축 시 준비사항 정리

 

ㅁ 클라우드 이용 시, 사전 준비 단계의 필요한 조치

ㅇ 업무 중요도 평가 및 분류

- 금융회사의 내부 업무 중 클라우드 서비스가 요구되는 부분을 식별하고 중요도를 평가합니다.

- 처리정보를 고유식별정보, 민감정보, 일반정보로 분류하여 보안 수준을 설정합니다.

 

ㅇ 규제 준수 사항 확인

- 금융회사에서 사용하는 데이터의 유형과 관련된 규제 및 법규를 확인합니다. (예: GDPR, PCI-DSS 등)

- 클라우드 서비스 제공자가 이러한 규제 요구사항에 맞춰 보안 조치를 취하고 있는지 확인합니다.

 

ㅇ 내부 절차 수립

- 클라우드 서비스 이용을 위한 내부 절차와 정책을 수립합니다.

- 데이터 백업 및 복구 계획, 접근 권한 관리 등 관련 절차를 명확히 합니다.

 

ㅁ 클라우드 이용 시, 계약 체결 단계의 필요한 조치

ㅇ 제공자의 신뢰성 확인

- 클라우드 서비스 제공자가 금융회사와 유사한 규제 요구사항을 준수하고 있는지 확인합니다.

- 제공자에 대한 검증 및 평가를 통해 신뢰성을 확보합니다.

 

ㅇ 계약 내용 검토

- 계약서의 모든 조항을 철저히 검토하여 이해합니다. 특히, 데이터 보안, 개인정보 보호, 서비스 수준 등을 포함한 중요한 항목들을 확인합니다.

- 추가적인 요구사항이나 특약 사항이 있는지 확인하고, 필요한 경우 이를 수정합니다.

 

ㅇ 법적 및 규제 준수 조항

- 계약서에 금융회사와 클라우드 서비스 제공자가 모두 준수해야 하는 법적 및 규제 요건을 명시적으로 포함시키는 것을 요구합니다.

- 데이터 이전 및 파기 절차, 보안 감사 및 보고 의무 등 관련 항목들을 추가로 작성할 수 있습니다.

 

ㅁ 클라우드 이용 시, 보고 및 이용 단계의 필요한 조치

ㅇ 사용 내역 관리

- 클라우드 서비스를 이용하는 과정에서 발생한 모든 활동을 로깅하여 기록합니다.

- 로그는 접근 시간, 접속 IP, 수행된 작업 등 자세한 정보를 포함해야 합니다.

ㅇ 보안 감사 및 보고

- 정기적으로 클라우드 서비스의 보안 상태와 내부 절차 준수를 점검하고, 이를 문서화합니다.

- 금융감독원에 필요한 보고서를 작성하여 제출합니다. (예: 이용 보고서, 안전성 평가 결과 등)

 

ㅇ 데이터 관리 및 보호

- 사용 중인 클라우드 서비스에서 생성되는 모든 데이터의 보안을 철저히 관리합니다.

- 데이터 백업 및 복구 계획을 지속적으로 업데이트하고 실행합니다.

 

ㅇ 사용 모니터링 및 최적화

- 실제 이용 중 발생하는 문제나 성능 저하를 지속적으로 모니터링하고, 필요한 경우 최적화를 통해 효율성을 높입니다.
- 예: 로그 분석 도구 사용, 리소스 할당 조정 등

 

ㅁ Capital One 데이터 유출 사건 (2019)의 예시와 대응 방안

Capital One의 2019년 데이터 유출 사건에 대해 설명하고, 클라우드 보안 대응 방안을 정리하였습니다.

 

ㅇ 사고 개요

- 2019년 Capital One은 1억 명 이상의 고객 정보가 유출되는 대규모 데이터 유출 사고를 겪었습니다.

- 전직 Amazon Web Services(AWS) 직원이 Capital One의 클라우드 인프라에 무단 접근했습니다.

- 공격자는 잘못 구성된 웹 애플리케이션 방화벽을 통해 접근 권한을 얻었습니다.

- 신용카드 신청 데이터, 사회보장번호, 은행 계좌 정보 등 민감한 고객 정보가 유출되었습니다.

 

ㅇ 주요 취약점

- 잘못된 IAM(Identity and Access Management) 구성

- 과도한 권한을 가진 역할 사용

- 부적절한 네트워크 세그먼테이션

 

ㅇ 클라우드 보안 대응 방안

- 최소 권한 원칙 적용
 ㄴ 사용자와 애플리케이션에 필요한 최소한의 권한만 부여
 ㄴ 정기적인 권한 검토 및 불필요한 권한 제거

 ㄴ DBSafer나 VDI를 통해 접근 제어 및 권한 제어

 

- 강력한 IAM 정책 구현
 ㄴ 멀티팩터 인증(MFA) 의무화, 앱에 보안 푸시를 발송하여 지문으로 인증할 수 있다.
 ㄴ 임시 자격 증명 사용 및 주기적 교체
 ㄴ 역할 기반 접근 제어(RBAC) 구현

 

- 네트워크 세그먼테이션 강화
 ㄴ 가상 사설 클라우드(VPC) 적절히 구성
 ㄴ 보안 그룹과 네트워크 ACL을 이용한 트래픽 제어
 ㄴ 중요 데이터를 저장하는 리소스는 공용 인터넷에서 직접 접근 불가능하도록 설정

 

- 암호화 적용
ㄴ 저장 데이터 및 전송 중인 데이터에 대해 강력한 암호화 적용
ㄴ 키 관리 서비스 활용

 

- 지속적인 모니터링 및 감사
ㄴ 클라우드 활동 로그 분석
ㄴ 이상 행동 탐지 시스템 구축
ㄴ 정기적인 보안 감사 및 취약점 평가 수행

 

- 보안 자동화
ㄴ 인프라as코드(IaC) 도구를 활용한 보안 설정 자동화
ㄴ 지속적인 통합/배포(CI/CD) 파이프라인에 보안 검사 통합