국내외 금융분야 데이터 유통제도 동향 및 시사점 (한국신용정보원)

국내외 금융분야 데이터 유통제도 동향 및 시사점

○ 국내외 금융분야에서는 금융정보를 하나의 플랫폼에서 보여주는 데이터 유통 비즈니스가 지속 성장해왔으며, 이체·송금서비스 등으로 영역을 확대해나가며 종합금융서비스플랫폼으로서 그 역할이 점차 증대

 - 해외에서는 크레딧 카르마(Credit Karma), 요들리(Yodlee) 등이 유니콘 기업으로 성장하였으며, 국내에서는 토스, 뱅크샐러드 등이 편리한 모바일서비스를 무기로 시장에서 영향력을 확대해가고 있음

○ EU에서는 데이터 유통 비즈니스의 활성화를 위해 필요한 사항들을 법제화하고 금융분야에 맞게 세부적인 규율을 마련

- GDPR(일반 개인정보보호법)을 개정하여 데이터 유통 제도의 두 가지 핵심요소인 개인의 정보 이동 요구권과 이에 대한 개인정보 보유기관의 기술지원 의무를 최초로 법제화

- GDPR을 금융분야에 맞게 적용한 PSD2(지급결제분야 지침)를 개정하고 최근에는 기술 표준 요건 등을 명시한 RTS(규제기술표준)를 시행하여 금융분야 데이터 유통제도의 기술적 토대를 마련

○ 영국, 호주에서는 PSD2를 자국 사정에 맞게 적용하여 은행의 API 개방을 의무화하는 오픈뱅킹 정책을 도입하고 운영 지원기관을 중심으로 제도 운영 거버넌스를 구축

- 이해 당사자가 참여하는 거버넌스를 구축하여 API 요건 등 정책에 관한 주요 사항을 결정하고, 운영 지원기관을 두어 이를 중심으로 다양한 이해관계 및 갈등 조율, 안정적인 제도 운영과 개선을 추진

○ 최근 국내에서도 개인신용정보 이동권 개념을 기반으로 한 본인신용정보관리업(마이데이터 산업) 도입을 추진하고 오픈뱅킹 시범서비스를 시행하는 등 데이터 유통제도의 혁신을 추진 중

- 신용정보법 개정을 통해 개인의 금융정보를 수집하여 하나의 플랫폼으로 일목요연하게 보여주는 사업자를 본인신용정보관리회사로 정의하여 제도권 안으로 편입하는 방안을 추진

- 금융 공동결제망을 개방하여 금융결제원을 통합 중계센터형 플랫폼으로 하는 오픈뱅킹 서비스를 추진

○ 데이터 유통제도 도입에 따라 소비자의 정보 접근권이 확대되고, 금융산업 내 경쟁에서 유발되는 소비자 맞춤형 서비스의 발전, 송금수수료 인하 등은 소비자의 편익을 증대시킬 것으로 기대

○ 데이터 유통제도에는 다양한 이해관계가 얽혀있어 국내 제도 도입·운영 시 금융회사, 핀테크사, 유관기관 등이 참여하는 거버넌스를 구축하고 운영 지원기관을 두어 제도의 연착륙을 유도할 필요

☞ 첨부파일 : 국내외 금융분야 데이터 유통제도 동향 및 시사점 (한국신용정보원)  

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급

070-7867-3721, ismsbok@gmail.com

뉴딜코리아 사업 영역

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

뱅크사인 (은행공동인증서비스)

 뉴딜코리아 홈페이지

​ 

뱅크사인 (은행공동인증서비스)

1. 뱅크사인 은행공동인증서비스 추진 현황

□ 은행연합회는 정부의 블록체인* 활성화 정책에 부응하고, 블록체인 기술의 금융시스템 적용을 위해 사원은행과 함께 ’16년 11월부터 ‘은행권 블록체인 컨소시엄’을 구성하여 운영하고 있음

 * 블록체인(Blockchain)은 4차 산업혁명 핵심기술 중 하나로, 중앙집중기관 없이 시스템 참가자들이 공동으로 거래정보를 기록, 검증, 보관함으로써 거래정보의 신뢰성을 확보하도록 설계된 분산장부 기술

□ 동 컨소시엄을 통해, 은행권은 블록체인 기반의 은행공동인증서비스인 ‘뱅크사인(BankSign)’ 도입을 추진해 왔으며, 오는 7월에 대고객 상용서비스를 실시할 예정임

  － 작년 11월부터 본격적인 개발에 착수하였고, 지난 4월말부터 일부 은행 임직원을 대상으로 실거래 환경에서 테스트도 진행

□ ‘뱅크사인’은 공개키(PKI; Public Key Infrastructure) 기반의 인증 기술, 블록체인 기술, 스마트폰 기술 등 첨단기술의 장점을 활용하여 전자거래의 안전성과 편의성을 높인 우수한 인증서비스이며, 은행권이 블록체인 기술을 이용한 첫 번째 공동사업이라는 의의가 있음

 － ‘뱅크사인’의 장점
   • 블록체인의 특성인 합의 및 분산저장을 통해 인증서 위‧변조 방지
   • 개인키(전자서명생성정보)를 스마트폰의 안전영역에 보관하고 항상 휴대함으로써 개인키 복제, 탈취 및 무단사용 방지
   • 뱅크사인은 스마트폰 앱 인증을 통해 모바일뱅킹과 PC 인터넷뱅킹 모두 이용 가능
   • 인증서 유효기간을 3년으로 확대하여 인증서 갱신에 따른 불편 경감 등

□ 참고로, ‘뱅크사인’ 도입 후에도 뱅크사인과 기존 공인인증서 모두 병행하여 이용이 가능함

  － 최근 전자서명법 개정안 입법예고(’18.3.30.) 등에 따르면, 공인인증서 제도 폐지에 대한 정부방침은 공인인증서의 우월적 지위*를 없애고, 시장경쟁을 통해 전자서명산업의 경쟁력을 강화하고 이용자의 선택권을 확대하자는 것임

        * 공인인증서에 무결성(전자서명 후 정보의 변경이 없음)을 부여하고, 법령에서 전자서명을 요하는 경우에는 공인인증서에 의한 공인전자서명만 인정


2. 뱅크사인 및 공인인증서 관련 참고사항

가)  공인인증서 제도 폐지에 대한 정부방침 관련

□ ‘전자서명법 개정안 입법예고(’18.3.30.)’ 주요내용

 ㅇ 정부는 공인인증서 제도가 도입초기에는 민원행정, 금융, 상거래 등 다양한 분야에서 전자적 업무처리 활성화 등에 기여하였다고 평가

 ㅇ 하지만, 현 시점에서는 오히려 전자서명시장의 발전을 저해하고, 이용자 불편을 초래하고 있다고 진단

  - 전자서명시장의 독점 초래, 전자서명기술 및 서비스 혁신 저해, 국민들의 전자서명수단 선택권 제한 등
 ㅇ 이에, 정부는 ‘공인’인증서의 우월적 지위*를 없애고, 시장경쟁을 통해 전자서명산업의 경쟁력 강화와 이용자의 선택권 확대 추진

      * 공인인증서에 무결성(전자서명 후 정보의 변경이 없음)을 부여하고, 법령에서 전자서명을 요하는 경우에는 공인인증서에 의한 공인전자서명만 인정

 ⇨ ‘공인’인증서 제도가 폐지되고 전자서명시장을 발전시킬 다양한 인증기술이 허용되므로, 뱅크사인이 도입되어도 고객은 기존 공인인증서와 뱅크사인 모두 병행하여 이용 가능

나) 인증서 제도 유지 필요성 관련

□ 인증에는 ‘본인확인’과 ‘전자서명’ 두 가지 의미가 있음

 ㅇ 본인확인은 단순히 행위당사자 본인을 확인(로그인)하는 것으로, ID/PW, SMS, ARS, 지문, 홍채 등 다양한 인증수단이 사용됨

 ㅇ 전자서명은 행위당사자 본인을 확인하는 것 외에 전자문서 등의 진위도 확인하는 것으로, 현재 공개키(PKI; Public Key Infrastructure) 기반의 전자서명 기술(공인인증서 또는 사설인증서)이 사용됨

 ㅇ 즉, 인증서는 본인확인과 전자서명이 모두 가능한 인증수단임

      * PKI 방식은 국제표준 기술로서 해외에서도 두루 사용

 ㅇ 최근 무서명 거래가 증가하고는 있으나, 서명이 요구되는 거래 또는 계약은 여전히 존재하며, 이러한 거래 등이 전자적인 형태로 이루어지는 경우에는 전자서명이 필요한 것임

 ⇨ 위와 같은 상황을 고려할 때 ‘인증서 제도’ 필요

다) 뱅크사인 이용채널 관련

□ 뱅크사인은 스마트폰 앱 인증을 통해 모바일뱅킹과 PC 인터넷뱅킹 모두 이용 가능

 ㅇ 뱅크사인은 인증절차의 보안성과 편의성을 높이기 위해 스마트폰의 첨단기술을 활용하므로 인증절차는 스마트폰에서만 가능

  - 스마트폰의 안전영역에 개인키(전자서명생성정보)를 저장하여 해킹 등에 의한 복제 및 탈취 방지

      * 스마트폰 안전영역은 외부접근이 불가능한 저장공간으로 해킹 등에 안전하나, PC는 이러한 안전한 저장공간을 사용할 수 없어 해킹 등 위험에 노출

 ㅇ 한편, 뱅크사인은 스마트폰에서 인증하여 PC 인터넷뱅킹 이용 가능

      * PC 인터넷뱅킹 화면에서 휴대폰번호 입력 후 ‘뱅크사인으로 로그인’ 선택 → 스마트폰 뱅크사인앱 활성화 → 비밀번호 등 입력 → PC 인터넷뱅킹 로그인 성공

라) 뱅크사인 이용기관 관련

□ 은행권은 이용자 편의 제고를 위해, 뱅크사인이 은행권 뿐 아니라, 정부 및 공공기관, 유관기관 등으로 이용범위가 확대될 수 있도록 관련 기관과 협의해 나갈 예정

 ㅇ 특히, 전자서명법이 개정되면, 정부 및 공공부문에서 공인인증서 외 인증수단도 이용이 촉진될 것으로 기대


☞ 첨부파일 :  뱅크사인 은행공동인증서비스

컨설팅 : ISMS, ISO27001, GDPR,PCI-DSS 

전자금융기반시설 취약점 분석·평가

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

홈페이지 개인정보 노출예방 교육 (2018)

 뉴딜코리아 홈페이지

▣ 개인정보 유출 과 노출


1. 개인정보  "유출" 이란?

정보주체의 “개인정보”에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 경우(고의+부주의) “개인정보 노출”은 유출의 한 부분


2. 홈페이지를 통한 개인정보 노출 이란?

홈페이지 이용자가 해킹 등 특별한 방법을 사용하지 않고, 인터넷을 이용하면서 타인의 개인정보를 취득할 수 있도록 인터넷 상에서 관련 『정보가 방치』된 상태 주로 홈페이지 관리자 및 이용자의 부주의로 발생

[참고]
○ 게시판 상담요청 및 처리 시, 개인정보가 포함된 내용을 그대로 답변 등으로 게시할 경우(노출)
○ 검색엔진 등을 통한 사이트 내에 개인정보가 수집/저장 되어 일반인이 노출된 개인정보에 접근하게 하는 경우(노출)

○ 개인정보가 저장된 DB 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우(유출)
○ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일, 문서, 저장매체 등이 잘못 전달된 경우(유출)

○ 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난을 당한 경우(유출)


3. 개인정보 노출의 문제점

▶ 고유식별정보 등 사생활 침해가 우려되는 정보가 노출

노출되어서는 안 되는 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인 등록번호), 신용카드번호, 계좌번호, 바이오정보 등이 노출

- 주민등록번호는 본인의 동의가 있더라도 법적 근거가 없으면 처리 불가, 여권번호 등은 처리 시 본인의 동의 필요 및 암호화 보관하여야 하는 중요 정보
- 노출시 법적 제재의 대상이 될 수 있음

▶ 홈페이지에 노출된 개인정보는 구글 등 검색엔진에 2차 노출

홈페이지에 노출된 개인정보를 신속히 삭제하지 않을 경우, 구글 등 검색엔진에 의해 노출이 확산되거나, 제3자에 의해 수집됨

- 개인은 명의도용, 보이스피싱 등 범죄에 악용, 대량 스팸 수신 등 피해
* 노출된 정보는 수집되어 개인을 분석하는 자료로 악용(프라이버시 침해)

- 기업은 이미지 실추, 다수 피해자에 의한 손해배상 소송 제기


☞ 추가 내용은 첨부파일 참고 하세요  !!!

컨설팅(ISMS, ISO27001, GDPR, PCIDSS)

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

한 눈에 보는 PCI-DSS vs. ISO 27001

 뉴딜코리아 홈페이지

한 눈에 보는 PCI-DSS vs. ISO 27001

정보보호 표준과 관련하여 해당 분야에 근무하시는 분들로부터 ISO 27001과 PCI-DSS는 무슨 차이가 있으며 어떠한 유사점이 있는지 문의를 받을 때가 있습니다.

많은 정보보호 관련 표준들 중에서 유독 ISO 27001과 PCI-DSS는 그 범위와 국제적인 영향력 측면에서 특별한 관계가 있다고 볼 수 있습니다.

ISO 27001 은 전 세계적으로 알려진 국제표준으로, 정보보호경영시스템 구축을 위한 요구사항을 규정하고 있습니다.

이 표준은 어떤 유형의 조직이건 다 적용이 가능하며, 실행과 인증에 대해서는 의무사항이 아니므로 적용 여부에 대해서는 조직이 선택하여 진행할 수 있습니다.

PCI-DSS 는 신용카드 산업 분야의 데이터 보호를 위한 표준이며, 이 표준은 신용카드와 관련한 데이터를 프로세스, 저장, 전송과 연관된 기업들에게 적용이 됩니다.

해당 기업들에게는 PCI-DSS를 준수하는 것이 의무적이나 처리하는 카드 정보의 양에 따라 다른 요구사항과 의무사항이 적용 될 수 있습니다.



▣ PCI-DSS vs. ISO 27001

=============
* ISO 27001 *
=============

1. 주체 :
- ISO 표준화 기구
- ISO 27001:2013 Information Security Management System

2. 인증의 성격 :
- ISO 27001의 인증은 정보보호경영시스템이 구축되고 효과적으로 운영되고 있음을 객관적으로 확인할 수 있는 글로벌 정보보호 스탠다드 인증

3. 대상 :
- 인증을 취득하고자 하는 조직의 비즈니스, 규모에 상관없이 모든 조직에 적용이 가능한 글로벌 스탠다드
- ISO 27001은 조직의 정보보호 체계를 유지하고 성숙도를 높이기 위해 자발적인 인증을 하는 경우가 많으며, 고객사의 요구 또는 세일즈 마케팅의 일환으로 인증을 유지하는 경우도 상당수 있음

4. 요구사항 :
- 정보보호에 관련한 프로세스를 정의하고, 이에 대한 요건을 요구사항으로 명시
- ISO 27001은 일반적인 표준화된 프로세스(프로세스와 보안통제 요건 118개)를 명시하며, 세부 사항(예: 기술적 상세 요건, 주기, 증적의 형태 등)은 요구하고 있지 않으며, ISO 27001 요건에 따라 조직이 상세 사항을 결정하여 이행하고 이에 대한 효과성을 검증하도록 요구함

5. 심사 진행 방법 및 절차 :
- ISO 27001은 최초심사, 사후심사(6개월 또는 1년주기), 갱신심사(3년 주기)로 진행
- ISO 심사원에 의해 이해여부를 인터뷰 및 현장심사로 확인하고 인증서를 발행

6. 요건의 개정 주기
- ISO 27001의 개정은 8년(2700:2005 -> 27001:2013) 걸리며, 다양한 업계의 best practice 프로세스가 반영되고 있음 (ISO 27001:2013)


===========
* PCI DSS *
===========

1. 주체 :
- PCI SSC (최초설립 참여사: VISA, Master, JCB, AMEX, Discover 이후 Union Pay사등도 참여)
- Payment Card Industry Data Security Standard

2. 인증의 성격 :
- PCI는 카드데이터가 안전하게 관리되고 있음을 객관적으로 확인할 수 있는 카드 비즈니스의 글로벌 보안 스탠다드 증명

3. 대상 :
- 카드 발급사, 매입사, PG 또는 VAN 및 가맹점과 서비스 프로바이드(카드데이터의 처리, 저장, 운영의 위탁서비스를 제공하는 회사)만을 대상으로 함
- PCI 의 경우에는 대부분이 이해관계자의 요구(예: 카드 브랜드사, 카드발급사, 매입은행 등)에 의해 의무적으로 받아야 하는 경우가 다수

4. 요구사항 :
- 카드데이터(PAN, Track Data, PIN 등)의 보호를 위해 특정 영역에 대한 기술적 요구사항을 명시
- PCI DSS는 세부요건(400여개로 구성되어 있으며 예: 기술적 상세 요건, 주기, 증적의 구성을 명시)에 대하여 적용하고, 이행하는 것을 요구함

5. 심사 진행 방법 및 절차 :
- PCI DSS는 매년 On site audit을 통해 심사가 진행 (최초, 사후, 갱신 형태의 심사가 아님)되며 심사원은 이를 테스트, 관찰, 검증을 통하여 적합 여부를 확인하고 준수 증명서를 발행
- PCI DSS는 모든 요건에 대한 준수가 완료되어 있어야만 Full compliant가 될 수 있으며, 현재 이행되지 않고 계획만 가지고 있는 건에 대해서는 인정해주지 않음 (이 경우에는 Partial 또는 Not compliant가 됨)

6. 요건의 개정 주기
- PCI DSS는 minor 1년, major 3년 주기로 개정되고 있으며, 최신의 보안 기술, 취약점 등에 대한 대응 요건이 반영되어 지속적으로 업데이트되고 있음 (현재 버전  PCI DSS v3.2)

<참고>
http://bsiblog.co.kr/archives/community/%ED%95%9C-%EB%88%88%EC%97%90-%EB%B3%B4%EB%8A%94-pci-dss-vs-iso-27001

ISMS 인증컨설팅|취약점 진단 및 모의 침투|보안솔루션 공급
(070-7867-3721, ismsbok@gmail.com )

 

개인정보 보호 상담 사례집 (2017년)

 뉴딜코리아 홈페이지

개인정보 보호 상담 사례집 (2017년)


■ 개인정보 보호법령 주요 개정 연혁 안내

• (법률)주민등록번호 처리제한[시행 2014.8.7.]
- 주민등록번호 수집 법정주의 실시, 주민등록번호 유출시 과징금 부과

• (시행령)개인정보 보호 책임성 강화[시행 2016. 7. 25.]
- 법정·징벌적 손해배상제도 도입, 개인정보 범죄 처벌 강화
- 개인정보보호위원회 기능 강화

• (법률)주민등록번호 수집 법정주의 강화 등[시행 2016. 9. 30.]
- 개인정보 수집 출처 고지 의무화, 주민등록번호 수집근거 강화
- 민감정보 안전성 확보 조치 의무화

• (법률)개인정보 수집 동의시 중요 내용의 명확한 표시[시행 2017. 10. 19.]
- 개인정보 수집 동의시 수집·이용 목적, 수집·이용하려는 개인정보 항목 등의 표시 방법을 행정안전부령으로정하는 방법에 따라야 함

■ 목  차

제1장 개인정보 침해 피해구제 개요 5

1. 개인정보침해 신고센터 소개 6
  가. 개인정보침해 신고센터 설립 근거 및 조사 권한 6
  나. 개인정보침해 신고 및 상담 업무처리 절차 12

2. 개인정보침해 신고·상담 접수 및 조치 현황 16
  가. 개인정보침해 신고 및 상담 접수 개요 16
  나. 개인정보침해 신고 접수 유형별 분석 16


제2장 개인정보 보호 상담 사례 19

1. 개인정보의 수집·이용 20
  1-1 필요 최소한의 개인정보 이외의 개인정보의 수집 20
  1-2 학교 행사 홍보를 위해 졸업동문에게 문자 메시지 전송 21
  1-3 영리목적의 광고성 문자 메시지 전송 23
  1-4 SNS를 통한 이벤트시 개인정보 수집 25
  1-5 개인정보 수집·이용·제공 및 처리 위탁의 동의 26
  1-6 스마트폰 앱 접근권한 설정 28

2. 개인정보 제3자 제공 30
  2-1 보험사의 동의없는 개인정보 제3자 제공 30
  2-2 부동산중개업체의 동의없는 개인정보 제3자 제공 31
  2-3 아파트 입주예정자 개인정보 불법 누설 33
  2-4 배달음식 주문고객 정보의 제공 및 이용 35

3. 개인정보 안전성 확보조치 36
  3-1 홈페이지 비밀번호 저장시 암호화 36
  3-2 홈페이지 개인정보 노출 37
  3-3 SNS상의 이용자 정보 공개 39
  3-4 채용응시자에 대한 불합격사실 이메일 동보 전송 39
  3-5 수험생 본인확인을 위한 정보공개 범위 40
  3-6 개인정보 처리방침 공개 42
  3-7 비밀번호 전송시 암호화 44
  3-8 바이오 정보 수집·이용 45

4. 개인정보 파기 46
  4-1 개인정보 파기 시점 46
  4-2 장기간 서비스 미이용자 정보 관리 47
  4-3 다른 법령에 별도의 보존기간 규정시 개인정보 파기 49

5. 정보주체의 권리 50
  5-1 이용하지 않은 사이트에서 거래관련 문자 메시지 발송 50
  5-2 상담이력 열람 요구 52
  5-3 회원탈퇴시 과도한 개인정보 요구 54
  5-4 개인정보 제공 동의 철회 55
  5-5 자기게시물에 대한 접근배제 요청 56

6. 고유식별정보 처리 제한 59
  6-1 채용 지원시 주민등록번호 수집 59
  6-2 렌터카 이용계약시 주민등록번호 수집 60
  6-3 자격증 관련 협회 회원가입시 주민등록번호 수집 61
  6-4 아파트 관리사무소의 주민등록번호 수집 62
  6-5 성인 확인을 위한 주민등록증 촬영 63

7. 개인영상정보처리기기 설치·운영 65
  7-1 탈의실 CCTV 설치 65
  7-2 개인영상정보처리기기 보호조치 65
  7-3 사무실내 CCTV 설치 67
  7-4 편의점 등 공개된 장소의 CCTV 설치 68
  7-5 CCTV 촬영 범위 70


제3장 개인정보 보호 관련 국내 판례 등 71


☞ 첨부파일 : 개인정보 보호 상담 사례집 (2017년)

ISMS 인증컨설팅 | 취약점 진단 및 모의 침투 | 보안솔루션 공급
(070-7867-3721, ismsbok@gmail.com )

 

중소형 금융회사 보안수준 진단 가이드

 뉴딜코리아 홈페이지

중소형 금융회사 보안수준 진단 가이드

금융보안연구원, 2014)

본 가이드는 중소형 금융회사를 위한 보안수준 진단 방법론 및 절차, 통계도구 사용법 등을 포함하고 있으며, 진단항목 중 자사에 적용할 수 없는 항목들은 진단 시 제외할 수 있습니다.

본 가이드는 중소형 금융회사에 적합한 보안수준 진단항목과 각 진단항목을 쉽게 이해할 수 있는 진단항목별 상세 해설을 포함하고 있습니다.
 
또한 사용자 편의성을 높이고 진단결과가 지속적으로 유지 관리될 수 있도록 보안수준 진단 절차의 전 과정을 자동화하고 다양한 통계차트를 적용한 시각적인 결과분석이 가능하도록 별도의 통계도구를 개발하여 함께 제공합니다.

첨부파일 : 중소형 금융회사 보안수준 진단 가이드

전자금융감독규정 해설 (금융감독원)

 뉴딜코리아 홈페이지

전자금융감독규정


총칙

1. 규정 목적

< 감독규정 >
제1조(목적) 이 규정은 ｢전자금융거래법｣(이하 “법”이라 한다) 및 동법 시행령(이하 “시행령”이라 한다)에서 금융위원회에 위임한 사항과 그 시행에 필요한 사항 및 다른 법령에 따라 금융감독원의 검사를 받는 기관의 정보기술부문 안전성 확보 등을 위하여 필요한 사항을 규정함을 목적으로 한다.

< 시행세칙 >
제1조(목적) 이 세칙은 ｢전자금융거래법｣(이하 “법”이라 한다) 및 동법 시행령(이하 “시행령”이라 한다)과 ｢전자금융감독규정｣(이하 “규정”이라 한다)에서 금융감독원장


▣ 전자금융거래법(이하 ‘법’) 및 동법 시행령(이하 ‘시행령’) 제정에 따라 동 법령에서 위임 되거나 시행에 필요한 사항 등을 감독규정 및 시행세칙 등으로 정함

● 전자금융업자의 전자금융업 진입 요건 및 안전한 전자금융거래를 위해 필요한 정보기술부문의 안전성 기준 등을 중심으로 규정


▣ 전자금융감독규정은 전자금융거래법 및 동법 시행령에 근거하였고,

● 금융위 규정사항 중 중요한 의사결정이 요하지 않는 사항에 대하여 범위를 설정하여 감독원장에게 위탁하였으며(시행령 제30조), 동 사항에 대해 전자금융감독규정시행세칙으로 규정


※ 관계 법령
< 시행령 >
제30조(권한의 위탁) ① 금융위원회는 법 제48조에 따라 다음 각 호의 업무를 금융감독원장에게 위탁한다.
1. 법 제21조제2항에 따른 인증방법에 관한 기준의 설정
1의2. 법 제21조제4항에 따른 정보기술부문에 대한 계획의 접수
1의3. 법 제21조의3제1항에 따른 취약점 분석･평가 결과의 접수
1의4. 법 제25


☞ 첨부파일 : 전자금융감독규정 해설 (2018. 금융감독원)

PCI-DSS Strong Passwords

 뉴딜코리아 홈페이지 

Strong Passwords

.......PAYMENT DATA SECURITY ESSENTIAL

.......약한 암호가 발생한 해킹 관련 침해 ...81%


■ PASSWORD BEST PRACTICES

▷ 위험(위반)을 최소화하기 위해 기업은 기본 암호를 강력한 암호로 변경하고 결코 공유하지 않아야합니다.

- 정기적으로 비밀번호 변경
  ㅇ Treat your passwords like a toothbrush.
  ㅇ Don’t let anyone else use them and get new ones every three months.

- 패스워드 공유 금지
  ㅇ Insist on each employee having its own login ID and password never share!

- 추측하기 어렵운 패스워드 사용 :
  ㅇ The most common passwords are “password”, “password1” and “123456.”
  ㅇ Hackers try easily-guessed passwords because they’re used by half of all people.
  ㅇ A strong password has seven or more characters and a combination of upper and lower case letters, numbers, and symbols (like !@#$&*).
  ㅇ A phrase that incorporates numbers and symbols can also be a strong password the key is picking a phrase with specific meaning to you so it’s easy to remember, like a favorite hobby, for example (like ILove2Fish4Trout!).

첨부파일 : Payment-Data-Security-Essential-Strong-Passwords

PCI-DSS, ISMS, ISO27001, GDPR 컨설팅
(070-7867-3721, ismsbok@gmail.com)

PCI DSS 감사 및 규정 준수

http://cafe.naver.com/rapid7/2298

PCI DSS 감사 및 규정 준수

신용 카드 또는 직불 카드 지불 결제와 관련된 각종 가맹점, 은행, 기타 관계자는 주요 기업 목표를 실현하는 것과 동시에 오늘날 가장 상세하고 포괄적인 데이터 개인 정보 보호 표준의 하나 인 PCI 데이터 보안 표준 (PCI DSS)에 규정된 의무를 이행하기 위해 계정 데이터의 개인 정보를 보호하는 수단을 강구하여야 합니다.

 PCI DSS는 계정 데이터 처리, 저장 및 전송에 대한 엄격한 요구 사항이 정해져 있습니다. 표준에 대한 적합성을 정기적으로 유효성을 확인하여야 하며, 적합하지 않은 경우 벌금이 부과되고 다른 신용 카드의 취급이 중지 될 수 있습니다.

PCI DSS는 결제 에코 시스템에 특화된 것이지만, 많은 관계자로부터 취급에 주의를 요하는 다양한 유형의 데이터에 대해 일반적인 표준 집합을 구체화 한 것으로 간주되어 헬스 케어 등 다른 산업에서도 활용될 수 있습니다.


PCI DSS 준수를 실현하려는 조직은 다음과 같은 여러 도전에 직면하게됩니다.

사전 감사가 실시된다. PCI DSS 감사 절차는 인가 감사원의 연례 현장 검사 또는 자체 평가와 정기적 인 침투 시험이 포함됩니다. 이에 대해 개인 정보 대부분의 다른 요구의 적합성에 대해서는 위반 사유가 발생한 경우에만 감사가 이루어집니다.

다양한 시스템과 프로세스에 영향을 미칠 수 있다. PCI DSS는 기업의 모든 위치에 있는 카드 소유자 데이터에 액세스하는 모든 IT 시스템에 적용됩니다. 따라서 잘조정된 유기적인 접근이 요구되지만 어떤 한 영역에서 유연성이 제한 될 수 있습니다. 

가능하면 적합성의 범위를 최소화. PCI DSS의 범위와 영향을 최소한으로 억제하려고 하는 일정한 동기가 계기가 되어, 암호화 및 토큰 화의 사용 지침이 발행되었습니다. 이 범위를 최소화하면서 적합성을 확보하려면 역시 충분한 주의가 필요합니다.

신기술이 비용과 복잡성을 증대시킬 수 있다. PCI DSS는 비교적 특수한 것이며, 암호화 등의 새로운 기술의 전개, 기존 비즈니스 응용 프로그램의 변경, 새로운 보안 프로세스 및 액세스 제어 설정 등을 유도 할 수 있습니다.

표준의 진화에 따라 불확실성이 증대 . 모든 개인 정보 데이터 보호 요구 및 공개 의무는 위협과 지역적인 법률의 변화에 따라 진화해야 합니다. 조직 적합성에 대한 의무와 보안에 대한 일반적인 목표를 일치 시키려고 할 때 상당한 불확실성에 직면합니다.


 
PCI DSS 감사 및 규정 준수와 관련된 위험 요소

적합하지 않은 경우 벌금과 회비 증액이 요구되며, 신용 카드의 취급이 중지 될 수 있습니다.
PCI DSS 준수를 분리하여 생각할 수 없습니다. 각 조직은 여러 보안 요구 및 데이터 유출 공개에 대응해야 합니다. 반면에, PCI 준수 프로젝트는 광범위한 보안 노력에 의해 본래의 주제에서 그것을 회피하는 경향이 있습니다.

PCI DSS는 이미 실시되고 있는 일반적인 방법이 포함되어 있습니다. 그러나 다른 측면으로는 구체적으로는 암호화 관련 측면은 조직에 새로운 것일 수 있으며 정확한 디자인을하지 않으면 구현시에 혼란을 일으켜 업무 효율에 악영향을 미칠 수 있습니다.

PCI DSS에 대한 의무의 범위를 축소함으로써 비용과 영향을 줄일 수 있는 경우가 있습니다. 그러나 새로운 시스템 및 프로세스가 실제로 표준을 준수하는 것으로 받아 들여질 수 있도록 주의를 기울이지 않으면 시간과 비용을 낭비해 버릴 우려가 있습니다.


PCI DSS 감사 및 규정 준수:
 - 뉴딜코리아 솔루션 -

은행 및 금융 기관에 의한 업계의 요구에 대한 적합성을 지원해온 수십 년의 경험을 살려 뉴딜코리아는 카드 소유자 데이터의 저장, 전송을위한 암호화, 그리고 액세스 제한을 가능하게 하는 제품과 서비스를 제공합니다.

또한 뉴딜코리아는 표준에 대한 적합성에 대한 부담의 범위를 줄일 수 있는 다양한 솔루션을 제공하기 위해 다양한 파트너와 긴밀히 협력하고 있습니다.

 
PCI DSS 표준 ( www.pcisecuritystandards.org )에는 200개 이상의 테스트에 대한 평가를 규정하고 있으며, 이러한 테스트는 6 가지 주요 원칙이 반영된 12 개의 일반적인 보안 영역으로 분류되어 있습니다.
이러한 테스트는 암호화 키 관리 및 기타 데이터 보호 방법 등의 기술뿐만 아니라 다양한 일반 보안 기술에 이르고 있습니다.


뉴딜코리아는 PCI DSS의 6 가지 주요 원칙에 대응하는
다양한 솔루션을 제공하고 있습니다.

카드 소유자 데이터 보호 표준 준수에 있어서는 카드 소유자 데이터를 공공 네트워크에서 전송하는 경우 암호화 및 저장된 카드 소유자 데이터의 보호가 요구됩니다. 조직은 전송 시 데이터를 보호하는 네트워크 암호화 및 SSL / TLS 암호화의 확장뿐만 아니라, 데이터를 보호하고 표준 적용 범위를 좁히기 위해 스토리지 암호화,데이터베이스 암호화, 응용 프로그램 수준 암호화, 토큰화 및 "단대단"암호화 등의 기술도 전개하고 있습니다.

강력한 접근 통제 수단의 구현. 모든 데이터 보호 기술은 액세스 제어와 함께 사용됩니다. PKI 및 디지털 인증서 등의 암호화 기술은 사용자나 시스템의 인증을 위해 암호 보안의 범위를 넘어 널리 사용되고 있습니다. 또한 암호화 된 데이터의 잠금을 해제하기 위한 데이터 암호 해독키에 대한 액세스 제어를 알필요가 있는 사람으로 제한하는 강력한 추가 보안 계층이 제공됩니다.

안전한 네트워크 구축 및 유지. 네트워크 수준의 암호화이외에 네트워크 보안의 중요한 구성 요소 중 하나는 네트워크 장치의 고강도 인증입니다. 디지털 인증 정보는 장치 수준에서 네트워크 액세스 제어에 채용되는 것이 많아지고 있어 기업의 PKI의 보안에 대한 중요한 고려 사항입니다.

네트워크의 정기적인 모니터링 및 테스트. 암호화 사용의 증가의 과제 중 하나는 네트워크 기반 모니터링을 통해 암호화 보호보다 하층에서 들어오는 공격에 의한 취약점에 노출될 수 있는 것입니다. 따라서 암호화는 포장을 일시적으로 제거함으로써 데이터를 안전하게 분석 할 수 있는 이벤트 모니터링 시스템 및 데이터 손실 방지 시스템이 필요합니다.

취약점 관리 프로그램 유지. 악성 코드를 침투시켜 비즈니스 응용 프로그램을 파괴하는 것을 의도한 APT 공격이 증가함에 따라 비즈니스 시스템 및 응용 프로그램 소프트웨어의 무결성과 신뢰성을 증명하기 위한 방법으로는 디지털 서명 및 코드 서명의 사용이 주목 받게 되었습니다.

정보 보안 정책의 유지. PCI DSS는 내부자 공격의 위험을 최소화하기 위해, 직원의 업무를 명확하게 구분하는 것을 특히 중시하고 있습니다. 암호화의 사용이 직무분리를 실행하고 신뢰할 수있는 이벤트 기록을 작성하여 적합성을 입증하기 위한 강력한 메커니즘을 제공합니다.


장점:
- 준수 의무의 범위를 좁힘으로써 표준 준수 비용을 대폭 줄일 수 있습니다.
- 전세계 결제 거래의 80% 이상의 보안을 지원하는 현장에서 입증 된 기술을 사용합니다.
- 레거시 시스템과 클라우드 기반의 확장을 포함하여 실질적으로 기업 내 모든 위치의 카드 소지자 데이터를 보호합니다.



 
뉴딜코리아는 다수의 기업과 기관에 PCI DSS 인증 보안컨설팅뿐만 아니라, 네트워크 및 시스템에서부터 물리•융합보안 영역에 이르는 PCI DSS 관련된 전 영역의 보안솔루션에 대한 선정 및 구축 경험을 가지고 있습니다.


언제라도 여러분들에게 필요한 최적의 보안솔루션을 제안•구축해 드리겠습니다.
뉴딜코리아 컨설팅사업본부 (070-7867-3721, ismsbok@gmail.com)