“고객중심의 사고, 고도의 전문성, 신뢰받는 금융감독”
		보 도 자 료
		2009. 9. 29.(화) 조간부터 보도가능
작성부서	금융감독원 감독서비스총괄국 IT업무팀
책 임 자	최재환 부국장 (3145-8290)		담 당 자	차재성 선임조사역 (3145-8288)
배 포 일	2009. 9. 28.(월)		배포부서	공보실(3145-5788～91)	총 4매

제 목 : 금융부문 디도스(DDoS) 공격대응 종합대책

□ 금융감독원(원장 김종창)은 분산서비스거부(DDoS; Distributed Denial of Service) 공격 등과 같은 사이버테러에 대응하기 위한 「금융부문 디도스 공격대응 종합대책」을 마련하였음

◦ 금융권은 금융회사, 금감원 등의 선제적 공동노력으로 지난 7.7 디도스 공격에 비교적 성공적으로 대응한 것으로 평가하나, 디도스 공격 패턴의 변화, 공격규모의 확대 등에 철저히 대비하기 위하여 보다 강화된 대책을 마련한 것임

□ 이번 종합대책은 ① 기술적 대응역량 제고, ② 정보보호 관리체계 강화, ③ IT감독 강화, ④ 정보보호전문가 양성 등 4개 분야로 나누어 수립되었음

◦ 인터넷 기반 전자금융거래서비스를 제공하는 모든 금융회사는 디도스 공격대응 시스템을 도입하여  24시간/365일 사이버 침해 여부를 모니터링 하여야 하고 년 1회 이상 모의훈련을 실시하도록 하였음

◦ 또한 금융회사는 최고정보보호책임자(CSO; Chief Security Officer)를 임명하여야 하고, 「금융정보보호계획서」를 매년 수립하여 이사회 등의 승인을 받아 정보보호를 체계적으로 추진하도록 하였음

◦ 아울러 금감원은 금융회사의 사이버 침해대응 능력을 중점검사항목으로 지정하여 IT검사를 강화하고 금융ISAC, 금융보안연구원 등에 ‘금융정보보호 아카데미’ 등 10여개 교육훈련과정을 개설하여 연간 2,000여명의 금융정보보호전문가를 양성할 계획임

□ 금감원은 이번 종합대책의 실효성을 제고하기 위하여 금년 4/4분기중에는 은행, 내년 상반기중에는 증권사․저축은행이 디도스 공격대비 모의훈련을 실시하도록 하였음

◦ 또한 금감원은 금년 4/4분기 이후 증권사, 저축은행 등의 사이버 침해대응 능력을 특별점검할 예정임

붙임 : 금융부문 디도스(DDoS) 공격대응 종합대책. 1부

☞ 본 자료를 인용하여 보도할 경우에는 출처를 표기하여 주시기 바랍니다.

http://www.fss.or.kr

(붙임)

금융부문 디도스(DDoS) 공격대응 종합대책

Ⅰ. 추진 배경

□ 금융권은 '07.6월 최초로 디도스 공격을 받은 이후 현재까지 10개 금융회사가 공격을 받음

◦ 공격받은 금융회사의 인터넷뱅킹서비스가 일시 중단되거나 접속지연 되었으나, 금융정보 유출․불법이체 등 피해는 없었음

※ 2007년 1개 은행 →  2008년 1개 증권, 1개 금융그룹  → 2009년 7개 은행

□ 금융권은 금융회사, 금감원 등의 선제적 공동노력으로 7.7 디도스 공격에 비교적 성공적으로 대응한 것으로 평가하나 디도스 공격 패턴의 변화, 공격규모 확대 등에 철저히 대비할 필요가 있음

금융부문 디도스 공격 대응 종합대책 개요

Ⅱ. 종합대책 주요내용

□ 금융회사의 기술적 대응 역량 제고

□ 인터넷 기반 전자금융거래서비스를 제공하는 모든 금융회사는 금융회사의 인터넷금융거래서비스를 보호하기 위한 디도스 공격대응 시스템을 도입하여야 하고, 24시간/365일 침해대응 관제체제 구축․ 대응 매뉴얼 작성․ 년 1회 이상 모의훈련 실시 등을 통해 디도스 공격에 대한 기술적 대응능력을 갖춰야 함

◦ 은행권은 ‘09. 4/4분기중, 증권사․저축은행은 ’10. 상반기중 디도스 공격 대비 종합적인 모의훈련 예정

□ 금융회사의 정보보호 관리체계 강화

□ 금융회사는 최고정보보호책임자(CSO; Chief Security Officer)를 임명하고 금융정보보호 조직․예산․인력․전문장비 등을 포함한 「금융정보보호계획서」를 매년 수립하여 이사회(또는 최고경영진)의 승인을 받도록 하는 등 금융회사의 정보보호 관리체계(Governance)를 강화토록 하였음

□ 금감원의 IT감독 강화 및 금융정보보호 전문기관간 협력 증진

□ 또한 금감원은 금융회사의 사이버 침해대응 능력을 중점검사항목으로 지정하여 검사하고 전자금융사고시스템(EFARS) 적용대상 기관을 은행에서 증권사 등으로 확대하여 IT감독을 강화할 예정임

◦ 금감원은 ‘09. 4/4분기중 증권사, ‘10. 상반기중 저축은행 등의 사이버 침해대응 능력 특별점검 예정

□ 금융정보보호 전문기관과 함께 「정보공유협의체」를 구성․운영하고, 금융ISAC(금융결제원, (주)코스콤)의 정보공유․분석 기능을 강화할 예정임

□ 금융정보보호 전문가 양성

□ 금융정보보호 전문기관(금융ISAC, 금융보안연구원 등)에 ‘금융정보보호 아카데미’ 등 10여개 교육훈련과정을 개설하여 연간 2,000명의 금융정보보호 전문가를 양성하고자 함