전자금융기반시설 취약점 분석·평가 고위험 항목 미조치 쟁점

핵심 판단

연 1회 전자금융기반시설 취약점 분석·평가 수행 후 고위험 항목에 대한 이행조치가 적시에 완료되었는지, 불가피한 지연 시 CISO 서면 위험수용 절차를 거쳤는지가 핵심이다. 가상화·컨테이너 등 신규 인프라의 점검 대상 누락도 확인 대상이다.

배경

취약점 평가는 수행하나 지적된 고위험(High) 항목을 장애 우려 등을 이유로 승인 없이 방치하는 사례가 많다. 이행조치 관리대장과 위험수용 절차가 부재하면 결함으로 지적된다.

주요 쟁점 및 심사 포인트

• 고위험 취약점의 이행조치 완료·기한관리 여부
• 조치 지연 시 CISO 승인 기반 위험수용(Risk Acceptance) 문서화 여부
• 가상화/컨테이너 등 신규 자산의 점검 범위 포함 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.11.2 취약점 점검 및 조치
• 1.2.3 위험 평가
• 2.10.8 패치관리

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「전자금융거래법」 제21조의3(전자금융기반시설의 취약점 분석·평가)
  • 금융회사·전자금융업자는 전자금융기반시설에 대해 취약점 분석·평가를 실시하고 보완조치 이행 의무.
• 「전자금융감독규정」 제37조의2·제37조의3(취약점 분석·평가)
  • 취약점 분석·평가의 대상·주기·방법 및 결과 보고·이행 절차 규정.
• 「정보통신기반 보호법」 제9조(취약점의 분석·평가)
  • 주요정보통신기반시설 지정 시 취약점 분석·평가 및 보호대책 이행 의무(해당 시).

참고 가이드

• 금융보안원 전자금융기반시설 취약점 분석·평가 기준
• 주요정보통신기반시설 취약점 분석·평가 기준(해당 시)

심사 시 확인사항 (증적)

• 취약점 분석·평가 보고서 및 위험도 분류표
• 이행조치 관리대장(항목·기한·완료증적)
• 미조치 항목의 위험수용 승인 문서(CISO 서명)

주요 결함 사례

취약점 점검에서 발견된 OS 권한 오남용(고위험) 취약점을 장애 우려를 이유로 승인·기록 없이 방치함.

보완 대책

1. 이행조치 관리 프로세스 수립 및 기한 초과 항목 에스컬레이션
2. 불가피한 미조치는 CISO 서면 위험수용 및 보완 대체통제 병행

연관 쟁점

• [ISSUE-025] EOL/EOS(지원종료) OS·소프트웨어의 대체통제 쟁점
• [ISSUE-019] 위험평가 자산식별 객관성 및 DoA 초과 위험수용 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)