[정보보호]전자금융기반시설 취약점분석 평가에 대해서

안녕하세요 간다병아리 입니다. 

오늘은 '전자금융기반시설 취약점 분석 평가'에 대해서 이야기를 해보고자 합니다. 

 

이야기를 하고자 하는 이유는 정보보호업을 시작하는 분, 또는 정보보호컨설팅을 막 시작하는 분들에게

대략적으로 설명을 드리고자 하기 위함입니다. 

 

그럼 천천히 쭉 읽어봐 주세요.

 

일부 다른 의견들이 있을수 있습니다. 

좋은 조언으로 항상 배움의 자세로 경청하겠습니다!

 

 

1. 개요

- 전자금융감독규정 37조의2 (전자금융기반시설의 취약점 분석·평가 주기, 내용 등)

  금융기관 또는 전자금융업자는 연 1회 이상 전자금융기반시설의 취약점 분석·평가를 실시하고,

이행계획을 수립·시행 하여야 한다.

 

 

2. 점검내역

- 점검기준: 전자금융기반시설 보안 취약점 평가기준 안내서 (금융보안원, 제2021-1호)

- 점검주기: 인프라 연1회, 모의해킹(웹/모바일) 연 2회

- 점검절차: ①점검대상 선정 → ②취약점 진단 → ③도출취약점 이행개선 → ④도출취약점 이행진단 →

⑤정보보호위원회 승인 → ⑥금융감독원 제출

 

3. 점검대상 (점검대상은 실제 시스템의 수량을 기입해주셔야 합니다.)

회사마다 진단 항목들과 대상들이 상이하실거에요. (*시스템 중요 정보가 없기에 공개합니다.)

 

4. 점검업체선정

- 선정방식: 지명경쟁입찰 진행(지정된 전자금융기반시설의 취약점 분석∙평가 전문기관, '21년1월기준 27개)

- 평가항목: 가격40 + 기술60 (수행경험(20), 인력평가(40)) - 회사마다 기준이 다르실것입니다!

전자금융감독규정을 준수하여야 하는 금융회사들이 매년 필수적으로 수행을 합니다.

 

별첨 1. 전자금융기반시설 취약점 진단평가기준 개정 사항

매년 평가기준과 항목수는 일부 변동이 되기때문에 비교 분석은 꼭 꼭 하셔야 합니다!

  

별첨 2. 전자금융기반시설 취약점 진단평가수행 절차

 

결론! 전자금융기반시설 취약점 점검 절차에 대해서 간략하게 도식화 하였습니다. 

별첨 3. 전자금융기반시설 취약점 진단평가수행 예정일정 

대략적인 내부 정보보호담당자는 아래 일정을 참고하세요!!

 

포스팅에 대해서 각각 정보보호담당자 또는 컨설팅을 하시는 분들께서 조금 다른 의견들이 있을수 있습니다. 

대략적으로 포스팅은 정보보호업을 처음 하시거나, 컨설팅 부분에 이제 시작하시는 분들에게 

도움이 되었으면 합니다. 

 

저의 포스팅 실력도 점점 좋아지길 바래봅니다. 

 

감사합니다.