[금융보안원][정보보호] 금융회사 재택근무 보안 안내서 (2020.12)

안녕하세요. 황컴플라이언스 입니다.

[금융보안원][정보보호] 금융회사 재택근무 보안 안내서 (2020.12) 입니다.

업무에 참고하시기 바랍니다.

 

○ 자료명 : 금융회사 재택근무 보안 안내서

○ 발행일 : 2020년 12월

○ 주관부처 : 금융보안원

---

[개요]

□ 추진배경

• 코로나19 등의 영향으로 국내 금융권에서도 재택근무 수행 필요성이 급증하는 상황이다. 특히 사무 환경의 밀집도가 높은 금융권 콜센터 직원 등을 대상으로 한 재택근무 필요성이 지속 제기되고 있다. 그러나 재택근무는 보안 통제가 소홀할 수 밖에 없는 외부에서 수행되므로 정보 유출 등 사고 발생 우려가 존재한다.
• 금융당국은 ｢전자금융감독규정 시행세칙｣을 개정하여 재택근무를 위한 원격 접속 시 정보보호 통제사항을 규정해야 한다.

---

금융보안원금융회사 재택근무 보안 안내서.pdf

0.91MB

금융회사 재택근무 보안 안내서 (2020.12) : 금융보안원

---

구분	주요 보안 위협
외부 단말기의 물리적 통제 미흡	1) 재택근무에 사용되는 외부 단말기의 분실·도난이나     타인의 정보 훔쳐보기 시 단말기 內 데이터가 유·노출 2) 외부 단말기를 통한 허가되지 않은 내부 네트워크 접근
안전하지 않은 네트워크 사용	공용 유무선 네트워크를 통해 내부망 접속 시 도청, 중간자 공격(MITM) 등으로 중요정보가 유출
악성코드 감염에 따른 네트워크 침해	악성코드에 감염된 외부 단말기로 내부 네트워크 연결 시 시스템 침해 가능
내부 자원의 원격접근 위협	내부에서만 접근 가능했던 내부 자원에 외부 단말기도 접근 가능해짐에 따라 비인가 접근 등 보안위협

---

[재택 근무 시 원격 접속 유형]

□ 간접 접속 (가상화 데스크톱 기반(VDI) 방식

① (접속 방식) 외부 단말기에서 VDI의 가상 업무용 단말기를 경유, 내부망에 접속

• VDI는 사내 공개망 또는 내부 업무망에 위치할 수 있으며, 인터넷 클라우드 기반의 VDI 서비스 활용도 가능

② (특징) 외부 단말기가 아닌 가상 업무용 단말기에서 업무를 처리하고, 외부 단말기에는 가상화 데스크톱 이미지 등만 표시

---

[원격 접속 프로그램 방식]

① (접속 방식) 외부 단말기에서 업무용 단말기로 원격접속 프로그램을 이용하여 접속

• 외부 단말기와 업무용 단말기 간 직접 접속하거나 별도의 원격접속 중계서버를 통한 접속도 가능

② (특징) 원격접속 프로그램 방식은 가상이 아닌 실 업무 단말기에 접속하여 업무를 처리

□ 직접 접속

① (접속 방식) 외부 단말기에서 내부의 업무용 단말기를 경유하지 않고 내부서버 등에 직접 접속

② (특징) 외부 단말기에서 업무 처리 시 업무 데이터가 외부 단말기 내에 저장되므로 정보 유출 등에 대비할 필요가 있음

---

[원격접속 관련 보안 고려사항]

□ 외부 단말기 보안 관리

① 공통 보안 고려사항과 ② 원격접속 유형(간접접속, 직접접속)별 추가 보안 고려사항으로 구분

공통 보안 고려사항

구분	세부 내용
백신프로그램 설치	외부 단말기에 백신프로그램을 설치하고 실시간 탐지 정책 업데이트 및 실시간 검사 수행
안전한 운영체제 사용	외부 단말기는 Windows 7 등 기술 지원이 종료된 운영체제를 사용하여서는 안되며, 알려진 보안패치는 필수 적용 * 운영체제 관련 정기 보안패치 혹은 긴급 보안패치 등
로그인 비밀번호 및 화면보호기 설정	외부 단말기에 로그인 비밀번호 및 화면보호기를 설정하고, 일정시간(예 : 10분) 동안 업무처리를 하지 않으면 화면 잠금 설정
정보 유출 방지대책 적용	1) 외부 단말기의 화면이나 출력물 등에 의한 정보 유출 방지대책 적용 [정보 유출 방지대책 예시] - 화면 캡처 방지 - 개인정보 등 중요 정보에 마스킹(*) 처리 - 내부 전산자료 출력 금지 - 출력물 內 워터마크 적용 등 2) 적용한 정보유출 방지대책을 직원이 외부 단말기에서     임의로 변경(삭제 또는 우회)하지 못하도록 조치

(의무사항) 백신프로그램 설치, 안전한 운영체제 사용, 정보유출 방지대책 등을 의무 적용

구분	세부 내용
개인 방화벽 설정	외부로부터 악의적인 네트워크 접근 등을 차단하기 위해 외부 단말기에 개인방화벽을 설정 ※ 이용환경(내부 또는 재택)에 따라 자동으로 보안정책을     변경하는 "자동감시(auto-sense)" 기능을 지원하는     개인방화벽의 경우, 재택근무 시 네트워크 정책 오류가     발생할 수 있으므로 재택근무 직원이     이를 자체 해결할 수 있도록 사전 교육
단말기 도난방지 조치	케이블 잠금장치 등을 통해 외부 단말기의 도난 등에 대비하고, 일정 시간 자리 이석 시 PC 종료 처리

개인 방화벽 설정, 외부 단말기 도난방지 조치, 운영체제 계정 권한 제한 등의 적용을 권고

구분	세부 내용
탈옥 된 운영체제 사용금지	모바일 기기 운영체제의 탈옥 여부를 사전 검사 * 탈옥 : 모바일 기기의 모든 권한을 획득하기 위해             임의로 운영체제를 수정하는 행위를 의미
모바일기기 잠금 설정	모바일 기기에 잠금을 설정하고 잠금 설정 해제를 위한 안전한 인증 방법(바이오인증, PIN 등) 적용
불필요한 네트워크 접속 제한	모바일 기기에 불법적인 네트워크 접속을 차단하기 위해 NFC, 핫스팟 등의 네트워크 접속 기능은 차단
모바일 기기 통제 솔루션 적용	모바일 기기에 대한 강력한 통제가 필요한 경우 아래의 모바일 기기 통제 솔루션 적용 고려 ① MCM : 모바일 기기의 강력한 통제할 수 있는 솔루션으로                 모바일 기기(회사 지급 기기, 개인 소유 기기)별                 통제 강도 조절도 가능 ② MAM : 모바일 기기 환경을 업무용 구간과                 개인용 구간으로 분리하여 운영할 수 있는 솔루션

외부 단말기가 모바일 기기인 경우 모바일 기기에 특화된 보안통제 방안의 추가 적용을 권고

원격 접속 유형별 추가 보안 고려 사항

• 간접 접속 시 단말기 간 (외부 단말기 ↔ 업무용 단말기) 파일 송수신 차단은 의무 적용
• 단, 간접 접속 방식 중 원격접속 프로그램 방식을 적용할 때 보안성 확보를 위해 외부 단말기에 추가 보안 통제 적용 필요

---

※ 더 많은 자료 찾아보기

황컴플라이언스의 공간