물리적 망분리 관련 전자금융감독규정 위배여부

□ 물리적 망분리 환경에서 망간 자료전송시스템을 이용하여 인터넷망에서 수신한 이메일을 내부망으로 전송하거나 내부망에서 작성한 이메일을 인터넷망으로 전송하는 것이 전자금융감독규정 제15조 제1항 제3호에 위배되는지 여부

□ 금융회사는 내부 업무용시스템이 악성코드에 감염되어 정보유출·자료파괴 등 해킹 공격에 노출되는 것을 방지하기 위하여 내부통신망과 연결된 내부 업무용시스템을 외부통신망과 분리·차단 및 접속금지의 조치를 하여야 하며(전자금융감독규정 제15조제1항제3호), ◦ 업무상 필요에 의한 내부망과 외부망 간 자료 교환을 위해 보조기억장치 또는 망간 자료전송시스템 등을 이용할 수 있습니다. □ 따라서 외부통신망으로부터의 침해행위에 대비한 적절한 통제가 이루어지는 것을 전제로 망간 자료전송시스템을 이용하여 인터넷망에서 수신된 이메일을 파일 형태로 변환하여 내부망으로 전송하거나 내부망에서 작성한 이메일을 외부망으로 전송하는 것은 가능한 것으로 보입니다. ◦ 자료 전송 과정에서 침해행위에 대비한 통제로서 일반적으로 샌드박스 기반*의 악성코드 검사, 본문 변환(외부 링크, 스크립트, eml Tag 등 제거), 이미지화일 등 침해위험이 없는 파일을 제외한 첨부파일 제거 등의 절차가 필요할 것입니다. * 외부에서 받은 자료를 별도로 지정된 보호 영역에서 실행하여 해당 자료로부터 발생할 수 있는 악성코드가 내부 시스템에 전파되지 않도록 보안을 강화하는 형태 ◦ 다만, 내·외부망 간 실시간 데이터 연계가 가능한 스트리밍 방식의 경우 외부통신망과의 분리·차단 및 접속금지의 의무를 규정한 망분리 취지에 부합하지 않는 것으로 보입니다.