ISMS-P WIKI문서를 불러오고 있습니다
요청한 자료와 최신 연결 정보를 확인하고 있습니다.
인증기준, 공식 자료, 쟁점과 사례를 메뉴와 출처 단위로 좁혀 찾습니다.
제목·요약·본문 전체에서 위키의 모든 문서를 찾습니다. 검색어는 공백으로 나눠 쓸 수 있고 결과는 메뉴·출처·자료 유형으로 좁힐 수 있습니다.
공개 웹서버에 WAF 등 웹 공격 방어가 적용되고 탐지·차단 정책이 관리되는지, DDoS 대응체계(용량·클린존·CDN·대응절차)가 갖춰졌는지가 핵심이다.
결함사례 4건 · 주요 확인사항 4건
목표복구시간(RTO)·목표복구시점(RPO)이 업무 중요도에 부합하게 설정되고, 실제 계정계 포함 전환·데이터 정합성 검증을 포함한 실전형 Failover 훈련으로 검증되는지가 핵심이다. 서류 위주·일부 서버 대상 훈련은 실효성 부족으로 지적된다.
침해사고·개인정보 유출 인지 시 법정기한 내 정보주체 통지 및 감독기관 신고가 이루어지는지, 초동 대응에서 로그·이미지 등 증거가 원형 보존되는지, 사고대응체계(비상연락·역할)가 정의되었는지가 핵심이다.
□ 금융회사가 EOS(End of Service) 대응을 위해 핵심업무 시스템을 재구축 및 통합테스트를 수행하면서 데이터 이행 및 정합성 검증 용도*로 내부통제**가 적용된 별도의 영역***에서 미변환된 이용자 정보를 사용하는 것이 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 업무특성상 다수 회원/고객사와 연관된 예외적인 데이터 구조가 많아 단순 변환된 개발용 정보로 테스트를 수행할시 데이터 일관성
최근 고성능 AI 모델 등장으로 고도화된 금융권 사이버 위협에 대응하기 위해 「보안 목적 AI‧SaaS* 활용 테스트(「AI 보안위협 대응 방안('26.5.)」, 금융위원회)」에 참여기관으로 선정된 금융회사에 한하여 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 **제15조 제1항제5호(망분리 의무)**를 예외할 필요 * ① SaaS형 생성형 AI 서비스(GPT, Claude, Gemini 등) ※ 보안
□ 스마트폰앱에서 이용자의 금융기관 계정정보(ID/PW)를 이용자 단말기에 저장하여, 멀티로그인, 자동로그인, 로그인 세션 유지 기능 제공이 가능한지 여부
□ 금융회사가 내부통신망과 분리·차단된 상태에서 인터넷을 사용할 수 있도록 외부 연결되어 있는 가상PC를 통해 생성형 AI(SaaS)를 접속·이용*하는 것이 전자금융감독규정 제15조제1항제3호 위반에 따른 조치대상인지 여부 * 접속·이용과정에서 내부정보 유출 혹은 악성코드 유입 등을 방지하기 위해 동 단말에 웹격리솔루션**을 통한 간접 접속 방식을 적용하여 추가적인 보안통제 이행 ** 단말기와 격리된 가상 환경에서 브라우징을
□ 금융그룹 전산센터 내에 별도 통제구역*을 마련하여 각 계열 금융회사(위탁사) 정보보호시스템에 1대1로 직접 접속하는 단말기를 설치하고 해당 단말기와 각 계열 금융회사의 내부통신망을 전용회선으로 연결한 환경에서, * 해당 구역은 별도 출입통제 및 전산기기 반?출입통제, 단말통제 등 보안대책 적용 o 금융그룹 전산센터에 상주하는 전산자회사(수탁사) 직원이 해당 단말기를 통하여 정보보호시스템 정책 등을 운영하는 경우 「전자금융감
□ 금융회사가 전자금융거래와 관련이 없는 대고객 서비스*를 제공하기 위하여 외부통신망에 위치한 SaaS를 API 형태로 이용하는 경우 전자금융감독규정 제14조2에 따른 클라우드컴퓨팅서비스 이용절차를 준수하여야 하는지 여부 * 외부에 공개된 뉴스, 재무 정보 등을 AI서비스를 통해 요약하여 고객에게 제공하거나 AI서비스를 활용한 챗봇으로 고객 문의에 대응하는 등의 서비스
ㅁ 동사와 일부 금융회사간 전자금융거래시 전용선 기반으로 암호화 통신을 하고 있는데, 전자금융감독규정 제36조제1항에 따라 보안성심의를 거칠 경우 전용선 기반에서 암호화 통신을 수행하지 않아도 되는지 여부 ㅁ 상기 질의와 관련 자체 보안성심의 진행시 전자금융감독규정 제36조제2항에 따라 보안성심의 결과보고서를 제출해야 하는지 여부 및 결과보고서 제출 시 어떤 항목에 대한 중점 검토가 필요한지 여부
□ IP주소 부여와 관련하여 다음의 각 관리방안이 전자 금융감독규정(이하 ‘감독규정’) 제18조를 준수한 것인지 여부 ◦ (1안) PC별로 고정IP를 부여하되 PC당 2인의 사용자를 등록하고 사용자 인증을 거쳐 사용하는 방법 ◦ (2안) 개인별로 IP를 부여하되 고정IP가 아닌 DHCP방식 * 으로 부여하고 변경현황을 관리하는 방법 * DHCP (Dynamic Host Configuration Protocol) 서버로부터 임의