본사 및 자회사의 VPN 및 VDI를 이용한 전산센터 접속과 형상관리 운영 여부

□ 금융회사가 IDC 서버 유지보수 및 형상관리 업무 목적으로 내부 업무용 시스템에 연결된 단말을 서버 접속용 가상PC(VDI)에 연결하여 가상사설망(VPN) 방식으로 전산센터 내 정보처리시스템에 접속하는 경우 전자금융감독규정 제15조제1항제5호 위반인지 여부

□ 전자금융감독규정 제15조제1항제5호는 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기(“이하 5호 단말기”)에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것을 규정하고 있고, o 전자금융감독규정시행세칙 제2조의2제2항제4호는 업무상 외부통신망과 연결이 불가피한 정보처리시스템으로써 5호 단말기와 외부통신망과의 연결 구간, 규정 제15조제1항제3호의 내부 업무용 시스템과의 연결 구간을 각각 차단한 경우에 한하여 물리적 망분리 적용을 예외로 하고 있습니다. □ 문의하신 사실관계 하에서 귀사의 네트워크 구성은 전자금융감독규정 제15조제1항제5호에 위반하는 것으로 보입니다. o 귀사는 동일한 단말기에서 내부 업무용 시스템과 서버 접속용 가상PC(VDI)에 연결이 가능하므로 5호 단말기를 외부통신망으로부터 물리적으로 분리하였다고 볼 수 없고(비조치의견서 200034), ? 해당 서버 접속용 가상PC(VDI)를 가상사설망(VPN) 방식으로 전산센터와 연결하였으므로 외부통신망과의 연결 구간을 차단한 것으로 볼 수 없습니다. □ 또한, 일상적인 유지보수 및 형상관리 업무 목적은 규정 제23조의 비상대책에 따른 원격접속으로도 볼 수 없어 물리적 망분리 적용이 예외되지 않습니다. (전자금융감독규정시행세칙 제2조의2제2항제3호)