Research 금융권모바일오피스보안고려사항에대한연구 금융권모바일오피스보안고려사항에대한연구 1) 임형진, 김동진 * Ⅰ 서론 65 Ⅱ 모바일오피스의이해 66 1. 모바일오피스정의 66 2. 모바일오피스구성 66 3. 모바일오피스생명주기 68 Ⅲ 국내 외모바일오피스도입및보안동향 69 1. 모바일오피스도입동향 69 2. 모바일오피스보안리스크 74 Ⅳ 모바일오피스보안요구사항 79 1. 구성요소별보안요구사항 79 2. 생명주기단계별보안요구사항 83 Ⅴ 결론 87 < 참고문헌 > 88 * 금융보안원보안연구부보안기술연구팀 (e-mail : hjlim@fsec.or.kr, dongjink@fsec.or.kr) http://www.fsec.or.kr 63
전자금융과금융보안 ( 제 6 호, 2016-04) 요약 모바일오피스는스마트폰및태블릿 PC 등의모바일단말기와무선네트워크 ( 이동통신망, 무선랜등 ) 를통해언제, 어디서나업무를처리할수있는환경을의미한다. 최근민간기업을비롯하여정부및공공기관뿐만아니라금융권에서도그룹웨어등일반적인사내업무와대고객서비스에모바일오피스업무가활용되고있다. 개인소유의모바일단말기를기반으로서비스가제공될수있다는점에서모바일오피스는기존과는차별적인운영환경을가지고있다. 이에본고에서는모바일오피스가가지는 5 가지보안리스크로분실 도난의우려, 외부로부터인터넷이용접속, 악성코드에감염된모바일단말기의내부접속, 기업외부로부터의내부자원이용, 제 3 자소유의모바일단말접속허용을제시하고, 안전한모바일오피스서비스를제공하기위해구성요소및도입 운영 ( 생명주기 ) 단계별보안요구사항을제시한다. 먼저, 모바일오피스의구성요소를모바일단말기, 애플리케이션, 무선네트워크, 내부시스템, 서비스로분류하여각구성요소별로충족시켜야할보안요구사항을제시한다. 주요보안요구사항에는단말분실 도난시대응방안, 업무정보유출방지, 안전한통신망사용, 타업무시스템과의모바일오피스시스템분리, 서비스인증등이포함된다. 도입 운영단계는도입계획단계부터설계, 개발및구축, 운영및유지보수, 폐기까지총 5 단계로구분된다. 도입계획시에는서비스별민감도등을고려한이용단말의유형별허용여부, 설계시에는사용자인증방식등에대한보안요구사항이대표적이다. 개발및구축, 운영및유지보수단계에서는애플리케이션개발보안, 보안설정, 패치관리, 보안성평가등을요구하며폐기단계에서는이용단말에서업무정보및애플리케이션삭제, 장비폐기와같은보안요구사항을제시한다. 금융회사는모바일오피스도입 운영시본고에서제시한보안리스크를인지하여구성요소별, 도입 운영단계별보안요구사항의충족여부를고려한다면안전한서비스를운영할수있을것이다. 64 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 03 금융권모바일오피스보안고려사항에대한연구 Ⅰ 서론 모바일오피스 (Mobile office) 는언제, 어디서나업무를처리할수있는환경을말한다. 최근민간기업을비롯하여정부및공공기관들에서도업무효율성증대와비용절감을목적으로스마트폰등모바일단말기를활용한모바일오피스를도입하고있으며 2020 년에는전세계관련시장규모가 2,000 조원에이를것으로예측되고있다. 1) 금융권에서도그룹웨어등일반적인사내업무이외에도방문계좌개설, 보험계약, 증권판매등각권역별로특화된대고객업무처리에활용하고있다. 그러나모바일오피스는기관외부에서모바일단말기와무선네트워크를통해업무를처리하기때문에단말기분실 도난및무선네트워크해킹등으로인한업무정보유출, 모바일단말및기업내부시스템의악성코드감염등과같은추가적인보안리스크가존재한다. 그러므로도입기관에서는기관의정책및모바일오피스의서비스범위등을고려하여각보안위협에대응하는보안정책을수립하고기술적보호조치를적용함으로써해킹등의공격으로부터모바일오피스시스템을보호하고안전한서비스를제공하여야한다. 본고에서는모바일오피스관련보안리스크를소개하고모바일오피스도입및운영시참고할수있는보안요구사항을모바일오피스구성요소및도입 운영단계별로분류하여제시한다. 1) 박영숙, 스마트워크, 2020 년전세계 2 천조원시장으로부상한다., 인데일리, 2013.01.04. http://www.fsec.or.kr 65
전자금융과금융보안 ( 제 6 호, 2016-04) Ⅱ 모바일오피스의이해 1. 모바일오피스정의 모바일오피스는스마트폰및태블릿 PC 등의모바일단말기와무선네트워크 ( 이동통신망, 무선랜등 ) 를이용하여언제, 어디서나회사업무를처리할수있는업무형태또는환경을의미한다. 모바일오피스는스마트워크 (Smart work) 로불리기도하지만일반적으로스마트워크는정해진사무실밖에서업무를수행하는다양한업무형태를통칭하는용어이다. 즉스마트워크의세부유형은근무장소에따라분류가능하며모바일단말을활용하여공간제약없이실시간으로업무를처리할수있는모바일오피스, 자택에서공간및필요한시설장비를구비한후업무를볼수있는재택근무, 사무실환경과유사하지만좀더유연한환경의사무실에서원격으로근무하는스마트워크센터근무등으로구분할수있다. 2) 2. 모바일오피스구성 2011년발표된 금융권스마트워크정보보호가이드라인 3) 과 2012년발표된 모바일오피스정보보호안내서 4) 등에서는모바일오피스의구성을모바일단말기, 애플리케이션 ( 모바일응용프로그램 ), 무선네트워크, 그리고기업업무와관련된내부시스템, 서비스등으로분류하였다. 5) 모바일오피스서비스구성도를영역별로나타내면 [ 그림 1] 과같으며, 각구성요소별세부설명은아래와같다. 2) 김종업, 영국의모바일오피스현황, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 3) 금융감독원, 금융권스마트워크정보보호가이드라인, 2011.6. 4) 미래창조과학부, 한국인터넷진흥원, 모바일오피스정보보호안내서, 2013.12. 5) 윤석웅, 모바일오피스보안이슈, 한국인터넷진흥원 Internet & Security Focus 7 월호, 2013.7. 66 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 그림 1 모바일오피스서비스구성도 자료 : 윤석웅, 모바일오피스보안이슈, 한국인터넷진흥원 Internet & Security Focus 7 월호, 2013.7. 모바일단말기 - 모바일오피스서비스를이용하는이용자단말기로개인소유의단말기와금융회사등이소유한단말기로구분된다. 애플리케이션 - 모바일운영체계상에서설치및실행되는 S/W 로서모바일오피스서비스를제공하며 모바일앱 (Mobile App), 모바일웹 (Mobile Web), 하이브리드앱 (Hybrid App) 으로분류된다. 네트워크 - 모바일단말기와서비스서버간네트워크, 내부시스템의네트워크로구성되며무선네트워크 ( 이동통신망, 무선랜등 ) 와유선네트워크구간으로분류된다. 내부시스템 - 금융회사등의내부시스템영역으로모바일오피스서비스를위한인증서버, 관리서버, 데이터베이스, 메일서버, 그룹웨어등으로구성된다. 서비스 - 그룹웨어, 메일등으로인증 / 조회 / 입력, 편집 / 파일저장및업로드등의기능으로구성되며, 서비스목적및처리정보의민감도등에따라분류가능하다. 최근에는모바일오피스의서비스범위가다양해지고있으며메일, 전자결재, 게시판등의사내그룹웨어서비스와공공기관등의현장단속, 시설물관리, 금융권의방문보험계약및계좌개설등의도입기관에특화된서비스등으로분류가능하다. http://www.fsec.or.kr 67
전자금융과금융보안 ( 제 6 호, 2016-04) 3. 모바일오피스생명주기 2016년미국 NIST에서발간한 Guide to Enterprise Telework, Remote Access, and Bring Your Own Device(BYOD 6) ) Security 가이드 7) 에서는모바일오피스를안전하고체계적으로도입및운영할수있도록 [ 그림 2] 와같이시스템생명주기 (Life cycle) 8) 인도입 운영과정을세부단계로구분하고각단계별로고려해야할보안이슈를제시하였다. 그림 2 모바일오피스시스템생명주기 자료 : M. Souppaya, and K. Scarfone, Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security, NIST Special Publication 800-64 Rev.2, Jul. 2016. 재구성 생명주기는총 5단계로구성되며, 첫번째 도입계획 (Initiation) 단계에서는보안요구사항식별및보안정책을수립하고, 두번째 설계 (Development) 단계에서는인증방법등의보안기술을결정할것을권고한다. 세번째 개발및구축 (Implementation) 단계에서는프로토타입을구축하여인증안전성등과같은보안테스트를수행하고, 네번째 운영및유지보수 (Operations and Maintenance) 단계에서는주기적인패치및보안성평가등을수행하도록권고한다. 마지막 폐기 (Disposal) 단계에는관련된법적요구사항에따라업무정보를포함한관련미디어를삭제하고장비를폐기한다. 6) 개인소유의스마트단말을업무에활용하는개념. 7) M. Souppaya, and K. Scarfone, Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security, NIST Special Publication 800-64 Rev.2, Jul. 2016. 8) 소프트웨어및 IT 서비스등이만들어져서폐기될때까지일련의과정. 68 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 Ⅲ 국내 외모바일오피스도입및보안동향 1. 모바일오피스도입동향 모바일오피스는일반적으로대기업, 금융회사등민간부분에서먼저도입을시작하였으며도입에따른효과가나타남에따라정부, 공공기관에서도행정업무처리의효율성을개선하고자모바일오피스를도입하고있다. 국내에서는대표적으로행정자치부가모바일전자정부를구축및운영중이며국외에서는미국, 영국, 호주등의사례가존재한다. 국내 외정부및공공기관의모바일오피스도입사례는다음과같다. 가. 국내동향 1) 민간및금융부문국내의경우 2010 년이후대기업및금융회사등을중심으로도입이급증하기시작하였다. 57개대기업을대상으로모바일오피스도입현황에대해설문조사한결과도입률이 2009년 15.8% 에서 2010년에는 56.1%, 2011년하반기에는 87.7% 로급증한것으로나타났다. 9) 금융권의경우회사외부에서활동하는영업인력이많은생명보험및손해보험사, 증권사등을중심으로고객서비스품질제고를위해영업에필요한정보를제공하는목적으로도입되었다. 먼저삼성생명 / 화재 / 증권이그룹웨어와영업지원및보상서비스등을스마트폰기반으로제공하였고이후다른대형보험사들과은행권등에서도모바일오피스를도입하고있으며방문계좌개설, 증권판매등에도활용중이다. 10) 9) 홍장원, 모바일오피스도입기업 1 년새 16% 56% 껑충, 매일경제, 2010.08.16. 10) 신혜권, 금융권모바일오피스도입나섰다., 디지털타임스, 2010.06.03., 이상일, 금융권, 모바일오피스구축봇물, 디지털데일리, 2011.03.04. http://www.fsec.or.kr 69
전자금융과금융보안 ( 제 6 호, 2016-04) 금융권의경우일반기업들과는달리고객의금융거래및신용정보등과같은민감한정보를처리하기때문에모바일오피스서비스별민감성을고려하여서로다른구현방식으로개발하고있다. 먼저그룹웨어서비스와같이민감도가낮은경우에는모바일웹기반으로개발하여이용단말별서로다른운영체제종류및버전에대한호환성및개발편의성을우선고려하고있다. 고객정보를처리하는서비스는모바일웹보다일반적으로보안성이높은일반애플리케이션으로구현하여편의성보다는보안성을추구하고있다. 11) 2) 공공부문행정자치부는세종시이전에따른행정의비효율성극복등을목적으로모바일오피스도입을통해업무연속성을확보하고시 공간의제약이없는업무처리로비용절감및행정업무처리의생산성을제고하고자 2010년 모바일전자정부기본계획 을수립하였으며이후 [ 표 1] 과같이구축및운영중이다. 12) 표 1 모바일전자정부추진경과 일시추진내용 10년 12월 모바일전자정부기본계획 수립 11년3월 ~8월 모바일전자정부서비스정보전략계획 (ISP) 및 모바일전자정부서비스중장기추진계획 수립 11년 12월 대국민및행정업무모바일서비스구축 11년9월 ~ 12년5월 모바일전자정부관련지침 가이드라인 7종마련 12년5월 모바일전자정부공통기반및지원센터시스템개통 12년2월 ~11월 모바일전자정부공통기반보안적합성검증 12년 ~ 13년 업무활용모바일서비스구축 14년10월 모바일현장행정서비스전용공통기반구축 14년12월 보안모바일메신저 바로톡 개발 15 년 7 월 ~ 바로톡 중앙행정기관및지자체확대보급추진 자료 : 행정자치부홈페이지 11) 신혜권, 금융권모바일오피스도입나섰다., 디지털타임스, 2010.06.03. 12) 행정자치부홈페이지 http://www.moi.go.kr. 70 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 주요내용으로는범정부에서모바일오피스도입시활용할수있는 모바일전자정부공통기반 을구축하여제공하였다. 모바일전자정부공통기반은각부처및지방자치단체에서모바일오피스구축시활용가능한단말기관리, 인증, 암호화등의보안기능과 Push 등부가기능을포함하고있으며각부처는이를활용하여모바일행정업무서비스의구축을추진하고있다. 중앙부처에서는 2013 년부터 [ 표 2] 와같이다양한행정업무를모바일서비스로구축및운영중이다. 13) 표 2 국내행정업무모바일서비스 (2013 년기준 ) 순번서비스명소관부처순번서비스명소관부처 1 온 - 나라시스템안전행정부 16 재산세과세대상관리안전행정부 2 공직자통합메일문화체육관광부 17 GKMC ( 정부지식행정시스템 ) 안전행정부 3 스마트재난관리소방방재청 18 스마트러닝통합시스템중앙공무원교육원 4 스마트화재정보소방방재청 19 행정업무포털 ( 솔넷 ) 국토교통부 5 모바일하모니안전행정부 20 모바일행정업무포털기술표준원 6 문화부업무포털문화체육관광부 21 행정업무포털 ( 반디 ) 소방방재청 7 통계청업무포털통계청 22 행정업무포털 ( 다우리 ) 고용노동부 8 산림청업무포털산림청 23 모바일행정업무포털환경부 9 산업부업무포털산업통상자원부 24 검찰모바일오피스구축대검찰청 10 방통위업무포털방송통신위원회 25 스마트보호관찰소구축법무부 11 시도행정포털안전행정부 26 소방활동시스템구축소방방재청 12 시군구 ( 새올 ) 행정포털안전행정부 27 조사답례품시스템통계청 13 모바일통계조사통계청 28 정보통신공사사용전검사 안전행정부 14 공무원용 SNS 안전행정부 29 모바일차량영치시스템안전행정부 15 인구주택총조사관리통계청 30 온나라시스템고도화안전행정부 자료 : 정대성, 모바일전자정부공통기반구축및서비스개발, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 13) 정대성, 모바일전자정부공통기반구축및서비스개발, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. http://www.fsec.or.kr 71
전자금융과금융보안 ( 제 6 호, 2016-04) 지방자치단체로는충청남도와경기도등이행정자치부가제공하는 모바일전자정부공통기반 을활용하여모바일오피스서비스를구축및제공하고있다. 충청남도는정보시스템개선을위한정보화전략계획에따라 2013년 2월 충남모바일오피스 를구축및서비스를시작하였다. 14) 충남모바일오피스는언제, 어디서나, 어떤디바이스를통해서든업무수행이가능하도록지원하며정부 3.0 계획실현을위한소통과협력을목적으로한다. 보안과관련된부분은안전행정부의 모바일전자정부공통기반 을활용하고있으며직원안내, 게시판, 간부일정등의서비스를제공중이다. 경기도의경우 2016년공무원이출장등의이유로사무실에없어도업무처리가가능하도록모바일용행정정보시스템인 ' 모바일지포털 (G-portal)' 을구축하고시범운영중이다. 15) 주요서비스로는전자결재 ( 대국민공개 ), 게시판, 직원도우미, 전자우편, 근무상황부등기존 PC에지원하던경기도행정서비스를동일하게지원한다. 모바일지포털은스마트폰분실등모바일오피스에존재하는보안위협에대비하여행정자치부에서구축한모바일오피스보안플랫폼인 ' 바로일터 ' 를기반으로구축되었으며분실신고시원격잠금, 행정전자서명인증서폐기등의보안조치가자동으로수행된다. 나. 국외동향 1) 미국미국은공공기관의업무환경으로모바일오피스또는유연근무제가각광받고있으며 1990년대초반부터 GSA(General Services Administration) 와 OPM(Office of Personnel Management) 이주관하여공공부문의원격근무를촉진하기위한다양한정책을추진하고있다. 16) 대표적으로 2010년미국연방정 14) 한경아, 충남모바일오피스 로 스마트충남 구현 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 15) 이용규, 경기도출장중업무처리 모바일행정정보시스템 도, 아시아경제, 2016.5.2. 16) 황은진, 미국의공공기관모바일오피스, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 72 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 부는 텔레워크 17) 강화법안 을통과시킴으로써연방공무원들이모바일오피스를포함한다양한형태의스마트워크를활용하도록근거를마련하였다. 텔레워크강화법안은모바일오피스를통해업무를수행할경우인사고과에반영하고기상이변발생시에는의무적으로재택근무를하도록강제화하였다. 실제로연방정부의텔레워크이용현황등에관한 2014년의회보고서 18) 에의하면연방중앙부처의텔레워크이용자수는전체직원의약 20% 에달하며계속증가중이다. 또한 2013년미국의모바일오피스현황자료에의하면, 대표적으로미국방부의정보시스템계획국 (DISA) 은가상사설망을활용하여모바일근무환경을구축하였으며실제로워싱턴지역근무자중약 70% 가모바일오피스를사용중이다. 19) 그리고공공기관의원활한모바일오피스구축및서비스를위하여관련가이드라인을제공하고근무자에게노트북등의모바일단말기를지급및인터넷요금을지원하고있으며별도의안전한네트워크접속이가능한웹사이트를신설하여보안기밀사항을주고받을수있는환경을제공하고있다. 2) 영국 영국은최근경제위기로인한공공비용감소대책으로모바일을활용한텔레워크의확산에주력하고있다. 중앙정부의기관들과지방정부들은전통적으로재택근무를추진했으나, 최근에는이동 / 현장근무등을지원하기위해노트북이나모바일, 태플릿 PC 등을지급하고있으며장비관리등의문제를해결하기위해클라우드컴퓨팅기술을이용한 데스크탑가상화 방식을도입하고있다. 대표적인사례로, 햄프셔의회는지역중소기업및창업활성화를위해민간센터에초기구축비용과운영비용을지원하고있다. 20) 17) 미국, 유럽등에서스마트워크또는모바일오피스등과동일한사용. 18) United States Office Of Personnel Management, 2014 Status of Telework in the Federal Government Report to Congress Report to Congress, Nov. 2015. 19) 황은진, 미국의공공기관모바일오피스, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 20) 김종업, 영국의모바일오피스현황, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. http://www.fsec.or.kr 73
전자금융과금융보안 ( 제 6 호, 2016-04) 3) 호주호주정부는광활한영토로인해국민들이공공서비스를받기위해관공소등을방문하기가어려웠으며, 국민의공공서비스접근성을높이기위해최근에는모바일오피스를도입하기위한정부차원의전략을수립하는등의노력을기울이고있다. 21) 호주정부는장기적인로드맵을수립하여체계적으로모바일오피스도입을추진하였다. 로드맵을기반으로 2013 부터공공서비스를제공하는일선분야에먼저모바일오피스가도입되었다. 공공서비스에대한대중의접근성을개선하기위해서비스제공 (Delivery) 분야에우선적으로모바일오피스를도입하였다. 호주정부는서비스제공분야이외의분야에도모바일오피스의도입을확대하여공공분야의행정업무처리의효율성을개성하려는목적을가지고있다. 이를위해서다양한정책과규정을개발중에있으며, 모바일오피스도입의성공을위해현재업무표준화작업을진행하고있다. 2. 모바일오피스보안리스크 가. 주요보안리스크 모바일오피스는기존의사내업무처리방식과는달리모바일단말기와무선네트워크등이사용됨에따라추가적인보안리스크가존재하며이에모바일오피스도입및운영시참고할수있는보안가이드가발간되었다. 국내에서는금융감독원의 스마트워크정보보호가이드라인 과한국인터넷진흥원의 모바일오피스정보보호안내서 가대표적이며국외에서는미국 NIST(National Institute Standards and Technology) 에서발간한가이드 22) 가대표적이다. 각가이드는모바일오피스관련보안리스크과이에대응하는보안요구사항등을 21) 김경옥, 모바일오피스의공공분야도입을위한호주의노력, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 22) M. Souppaya, and K. Scarfone, Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security, NIST Special Publication 800-64 Rev.2, Jul. 2016. 74 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 제시하고있으며가이드에서는공통적으로제시하고있는주요보안리스크는 크게 5 개로다음과같다. 분실 도난의우려 - 모바일단말기의경우분실및도난의우려가존재하여, 이경우해당단말기에저장된민감한정보를복구하거나기업내부로불법접속을시도할가능성이존재. 인터넷이용접속 - 기업의외부로부터기업내부로의접속은대부분유 무선인터넷을이용하여접속함으로사설망에비해상대적으로안전성이낮음. 악성코드감염된모바일단말기의내부접속 - 기업의외부에서인터넷에접속하여사용되던모바일단말기의경우악성코드감염가능성이높으며, 이러한단말기의기업내부접속으로인해악성코드의전파위험이존재. 기업외부로부터의내부자원이용 기업외부에서의내부자원 ( 예, 서버등 ) 에대한접속및이용을허용함으로인해업무정보에대한비인가자의접근위험존재. 제3자소유의모바일단말접속허용 개인소유의스마트폰, 스마트태블릿등충분한보안기능을적용하기어려운모바일단말기의접속을허용함으로인해업무정보의유출위험존재. 나. 모바일오피스구성별보안위협 1) 모바일단말기 단말기분실및도난 모바일단말기는사용자의부주의로인해단말기를분실하거나도난당할수 있으며단말기원격잠금과같은보호방안이마련되지않은경우타인에의한업 무정보유출및서비스접근이가능하다. http://www.fsec.or.kr 75
전자금융과금융보안 ( 제 6 호, 2016-04) 플랫폼위 변조단말이용자가이용편의성을위해플랫폼을변경하거나악성코드등에의해플랫폼이위 변조될수있으며이를통해모바일오피스보호기능의비활성화또는우회가가능하다. 단말기자원악용모바일단말기가악성코드에감염된경우공격자가마이크, GPS, 카메라와같은하드웨어자원을직접제어할수있으며이를통해업무정보가외부로유출될수있다. 악성코드위협피싱, 스미싱, 비인가장치와의연결등을통해단말기가악성코드에감염될수있으며플랫폼위 변조, 추가악성코드설치등을통해서비스인증우회및업무정보유출등이발생할수있다. 모바일단말기의악성코드유형은 [ 표 3] 과같다. 표 3 모바일단말기의악성코드위협 악성코드유형단말기장애유발형배터리소모형과금유발형정보유출형크로스플랫폼형 세부내용 스마트단말기에장애를일으켜시스템을사용할수없도록만들거나단말기를사용불가능하도록만드는악성코드 스마트단말기의전력사용을지속적으로유발하여배터리를고갈시키는목적을가진악성코드 스마트단말기의 SMS 또는음성통화를지속적으로시도하여과금을유발시키는형태의악성코드 모바일단말기정보나사용자의개인정보를유출시키는악성코드 스마트단말기를통해 PC 를감염시키는악성코드 자료 : 윤석웅, 모바일오피스보안이슈, 한국인터넷진흥원 Internet & Security Focus 7 월호, 2013.7. 76 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 2) 애플리케이션 악성애플리케이션설치정식애플리케이션배포이외의경로를통해악성코드가추가된애플리케이션이설치될수있으며최근에는정식배포경로를통해서도일부악성애플리케이션이배포되는것으로알려졌다. 23) 화면캡처 스마트폰등의화면캡처기능이악용되어모바일오피스서비스이용시기 업의중요정보가캡처되어외부로유출될수있다. 데이터복구모바일응용프로그램을사용하였던장비, 저장장치의매매및양도시데이터를삭제하였어도데이터복구로인하여업무정보, 개인정보등의데이터가타인에게유출될수있다. 애플리케이션내부취약점애플리케이션개발시부적절한오류처리등과같은실수또는개발언어등의문제로인해잠재적인보안취약점이내재될수있으며공격자에의해악의적인코드실행등의다양한방식으로악용될수있다. 3) 무선네트워크 비인가 AP 비인가 AP를이용해업무서버접속시피싱사이트로접속을유도하여사용자의계정정보탈취및악성코드감염을유발시킬수있다. 23) 문가용, 구글플레이앱스토어에서악성코드 2 개발견... 250 만명감염?, 보안뉴스, 2016.9.11., L. Arsene, Tainted Xcode IDE Tricks Apple Developers to Submit Malicious Apps in App Store, HOTforSecurity, Sep. 12, 2015. http://www.fsec.or.kr 77
전자금융과금융보안 ( 제 6 호, 2016-04) 도청및패킷스니핑 안전하게보호된통신채널을이용하지않을경우공격자에의해모바일단말기와 서버간의통신데이터가도청또는위 변조될수있다. 4) 내부시스템 내부서버침입모바일오피스서버, 인증서버, 데이터베이스등은외부네트워크및내부자의침입을통해공격당할수있으며공격자에의해내부시스템이장악될경우대량의업무정보유출및이용자단말기에대한해킹으로이어질수있다. 서비스거부공격서비스거부공격은엄청난분량의데이터를서버에다량전송하는등의방법을통해서비스시스템의자원을고갈시켜정상적인서비스를거부하도록하는위협으로기업외부에서의업무처리를불가능하게만들어기업의손실을초래할수있다. 5) 서비스 휴 퇴직자의정보유출모바일오피스를이용하여업무를수행하였던직원이모바일단말기에기업의중요정보를보관하고있다가휴 퇴직후에삭제하지않고개인적으로사용하거나, 악의적인목적에의해유출될수있다. 서비스인증우회 서비스인증시단말고유값변조, 인증정보유출, 유추가쉬운비밀번호사용, 세션재사용등에의해타인에의한서비스인증우회가가능하다. 78 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 Ⅳ 모바일오피스보안요구사항 1. 구성요소별보안요구사항국내 외모바일오피스관련보안가이드에서제시하는보안위협분석을통해고객의신용정보및금융거래정보등의중요정보를처리하는금융권에서참고할수있는모바일오피스구성요소별보안요구사항을제시한다. 가. 단말기보안타인에의한모바일오피스서비스접근및업무정보유출을차단하기위한단말기및플랫폼수준의보안요구사항으로구성된다. 세부적으로는 [ 표 4] 와같이기기및사용자에대한인증과실패시대응방안, 단말기분실대책과단말및타장치와의연결을통한정보유출에대한통제, 플랫폼변조방지및상태점검, 악성코드에대한대응과관련된보안요구사항이존재한다. 표 4 단말기보안요구사항 분류 기기및사용자인증 단말기관리대책 플랫폼보안 악성코드및해킹 보안요구사항 - ( 기기접근제어 ) 단말기구동시사용자인증을위한접근제어수단을제공하여야한다. - ( 자동잠김 ) 단말인증후일정기간미사용시자동잠금기능이지원되어야한다. - ( 인증실패조치 ) 일정횟수이상인증실패시대응방안이지원되어야한다. - ( 기기분실대책 ) 단말기분실, 도난시대응방안이제공되어야한다. - ( 타장치연결통제 ) 비인가장치와의연결및데이터전송에대한통제기능이제공되어야한다. - ( 단말기자원통제 ) 마이크, GPS, 카메라등단말기하드웨어에대한통제기능이제공되어야한다. - ( 운영체제변조탐지 ) 운영제체의임의변조에대한탐지대응기능이제공되어야한다. - ( 단말상태점검 ) 단말기의상태 ( 전화번호, Wifi-MAC주소, OS 버전, 펌웨어버전등 ) 를점검하고임의변경에대한탐지 대응기능이제공되어야한다. - ( 사용자동의처리 ) 단말상태정보를포함하여개인위치정보등활용대상및내용에따라사용자의동의를구하는절차가제공되어야한다. - ( 보안프로그램설치 ) 보안프로그램 ( 백신등 ) 을설치하고최신상태를유지하여야한다. - ( 위 변조방지 ) 보안프로그램의정상실행여부점검하고위 변조를방지하여야한다. http://www.fsec.or.kr 79
전자금융과금융보안 ( 제 6 호, 2016-04) 나. 애플리케이션보안애플리케이션을통해업무정보가유출되는것을통제하기위한보안요구사항으로세부적인내용은 [ 표 5] 와같다. 애플리케이션수준에서업무정보가저장되는것을제한하며필요시안전하게저장및관리함으로써정보가유출되는것을차단하기위해참고할수있는보안요구사항이다. 그리고애플리케이션에보안취약점이존재하여해킹및악성애플리케이션에의해악용되어정보가유출될수있으므로안전한 S/W 개발등의보안요구사항이존재한다. 표 5 애플리케이션보안요구사항 분류 콘텐츠보안 보안요구사항 - ( 안전한정보저장 ) 단말기내업무정보를저장필요시안전한방법 장소를통해저장 관리하여야한다. - ( 정보유출통제 ) 업무정보의외부유출을통제하여야한다. - ( 중요정보통제 ) 고객정보등중요정보의처리를통제하여야한다. - (S/W 설치통제 ) 비인가 S/W 의설치및실행을탐지하고차단하여야한다. S/W 보안 - (S/W 유출및위 변조방지 ) 업무 S/W의외부유출및위 변조를방지하여야한다. - ( 안전한 S/W 개발 ) S/W 개발시구현방식 ( 앱, 웹, 혹은하이브리드 ) 에따른보안취약점을최소화하기위한조치를수행하여야한다. - (S/W 상태관리 ) S/W를최신상태로유지및운영하여야한다. 다. 네트워크보안비인가 AP 또는안전하지않은무선네트워크이용등으로인해정보가유출되는것을차단하기위한보안요구사항으로 [ 표 6] 과같다. 세부적으로신뢰가능한무선네트워크와안전하게암호화된보안채널사용, 비인가장치와의테더링을통한인터넷연결차단등이요구된다. 80 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 표 6 네트워크보안요구사항 분류 보안요구사항 네트워크보안대책 - ( 신뢰채널이용 ) 서비스이용시무선네트워크 (Wi-Fi) 를경유하여접속하는경우신뢰된채널을사용하여야한다. - ( 타장치접속제어 ) 추가장치와유 무선연결시사용자인증등접근제어수단을제공하여야한다. 통신망암호화 - ( 암호통신제공 ) 안전하게암호화된보안채널을사용하여야한다. 라. 내부시스템보안 모바일오피스서비스를제공하는기관내에서의안전한모바일오피스관련서버, DB, 네트워크구축및운영에대한보안요구사항으로 [ 표 7] 과같다. 주요요구사항으로는타업무시스템과의분리운영, 망분리, 취약점점검등이있으며모바일오피스시스템이외의다른내부시스템에도적용되는보안요구사항은전자금융감독규정 24) 등을참고할수있다. 표 7 내부시스템보안요구사항 분류 보안요구사항 내부시스템구성 - ( 업무분리 ) 모바일오피스내부시스템을타업무시스템과분리구성하고상호접속시보안대책을마련하여야한다. - ( 망분리 ) 내 외부망을분리하고연계시보안대책을마련하여야한다. 악성코드및해킹대응 - ( 보호대책 ) 정보보호시스템운영등악성코드및해킹공격으로부터내부시스템을보호하기위한대책을마련하여야한다. - ( 취약점점검수행 ) 업무서비스개시전, 업무서비스취약점에대한보완조치를수행하여야한다. 24) 전자금융감독규정제 4 절제 12 조 ~18 조등. http://www.fsec.or.kr 81
전자금융과금융보안 ( 제 6 호, 2016-04) 마. 서비스보안 모바일오피스서비스수준에서사용자인증, 권한통제, 정보유출통제에대한보안요구사항으로 [ 표 8] 과같다. 단말기인증과는별도로서비스접속시사용자인증및실패조치와이용자의업무, 직급등을고려한업무정보및서비스접근권한통제를요구한다. 그리고사후감사등을위한서비스이용내역관리와서비스이용시업무정보처리와관련된보안요구사항이포함된다. 표 8 서비스보안 분류 사용자인증 보안요구사항 - ( 애플리케이션접근제어 ) 애플리케이션구동시사용자식별및인증을수행해야한다. - ( 자동접속종료 ) 사용자인증후일정기간미사용시자동접속종료기능이지원되어야한다. - ( 인증실패조치 ) 일정횟수이상사용자인증실패시대응방안이지원되어야한다. - ( 복합인증수행 ) 2가지이상의정보를사용하는복합인증을수행하여야한다. - ( 안전한비밀번호생성 ) 비밀번호등인증정보를안전하게생성 관리하여야한다. - ( 세션관리방안 ) 인증우회를차단하고방지대책을마련하여야한다. - ( 인증정보유출방지 ) ID/PW 등인증정보가유출및재사용되는것을방지하기위한대책이마련되어야한다. 서비스권한통제및이용내역점검 - ( 서비스이용자권한관리 ) 이용자별업무, 직급, 업무환경등에따라권한에따른접근통제를수행하여야한다. - ( 서비스이용내역관리 ) 이용자의서비스이용내역을기록및점검하여야한다. 정보유출보호대책 - ( 조회기능보호 ) 조회기능의경우단말자체에정보가저장되지않도록한다. - ( 입력 편집기능보호 ) 입력및편집시입력값에대한보호기능을제공하여야한다. - ( 파일조작기능보호 ) 파일다운로드및업로드시정보유출가능성에대한보호기능을제공하여야한다. - ( 서비스실행환경보호 ) 업무실행시안전한환경이보장될수있도록보호기능구동여부가확인되어야한다. 82 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 2. 생명주기단계별보안요구사항모바일오피스도입부터운영, 폐기까지시스템생명주기전단계에걸쳐보안요구사항이체계적으로고려되고대응방안이수립 적용될수있도록각단계별보안요구사항을제시한다. 가. 도입계획 (Initiation) 모바일오피스도입전반에대한계획을수립하는단계로서모바일오피스설계를위한성능 / 기능 / 보안적요구사항식별하고보안정책을수립하여야한다. 기본적으로업무정보민감도에따라서비스를분류하고서비스별로이용가능한단말의형태 ( 기관소유의단말, BOYD 단말, 제3자소유의단말등 ), 이용가능한장소등을결정하여야한다. 도입계획단계에서고려해야할주요보안요구사항은 [ 표 9] 와같다. 표 9 도입계획단계의보안요구사항 분류 모바일오피스의민감도 보안요구사항 민감한정보에접근하는서비스 ( 대고객서비스등 ) 를구분하고추가적인보안대책을마련하여야한다. 보안정책의준수에대한신뢰수준 BYOD 및제3자소유단말의이용시기관소유단말에적용하는보안정책수준과동등한수준의정책준수가이루어질수있도록방안을마련하여야한다. 모바일오피스이용장소 서비스의민감도등을고려하여서비스이용장소의제한을고려하여야한다. ( 이용자의집, 업무파트너사무실등이실외장소보다일반적으로보안성이높다.) 기술적제한사항 기술적이슈 ( 개발언어, 운영체제호환성, 보안기능지원여부등 ) 로인해가용한단말종류가제한될수있으므로이를최소화하기위한기술적고려가필요하다. 정책및규제준수감독 / 규제기관들에서제시하는보안규제등을반영및준수하여야한다. http://www.fsec.or.kr 83
전자금융과금융보안 ( 제 6 호, 2016-04) 모바일오피스전체또는일부서비스에대해높은수준의보안이필요한경우 에는 [ 표 10] 의추가보안고려사항을선택적으로활용가능하다. 표 10 순번 1 모바일오피스도입계획시추가보안고려사항 추가보안고려사항 민감한정보 ( 고객정보등 ) 를처리하는서비스의경우기관소유의단말기로만이용가능하도록제한하여야한다. 2 서비스접속시멀티 - 팩터인증을요구하여야한다. 3 단말기저장공간을암호화 ( 최소한모든민감정보에적용 ) 하고다중 (multi-level) 암호화를적용하여야한다. 4 최소한의필요정보에대해서만저장및접근가능하도록하여야한다. 나. 설계 (Development) 수립된보안정책을기반으로모바일오피스시스템을설계하는단계로서비스에필요한보안기술 ( 인증방법, 통신채널암호화방식등 ) 과세부적인정책 ( 네트워크및주요자원에대한접근제어등 ) 을결정하며주요기술적보안요구사항은 [ 표 11] 과같다. 표 11 설계단계의보안요구사항 분류시스템구조인증암호접근제어엔드포인트보안 보안요구사항서버의배치, 네트워크설계, BYOD/ 제3자소유단말을위한추가네트워크구성등을포함하여모바일오피스시스템의구조를설계하여야한다. 서비스인증방식, 인증정보발급및초기화정책등을포함한인증클라이언트및서버의구현방법을결정하여야한다. 통신채널암호화및무결성보장을위한암호알고리즘선택과암호키강도설정을포함한암호와관련된사항들을결정하여야한다. 통신방식별서비스접근허용여부를포함한업무정보전반에대한접근제어정책을수립하여야한다. 모바일오피스서버및이용단말을안전하게보호하기위한보안정책을수립하고관련된보호기술을결정하여야한다. 84 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 다. 개발및구축 (Implementation) 모바일오피스시스템의프로토타입을구축하여테스팅및평가하는단계로주요보안요구사항은 [ 표 12] 와같다. 세부적으로인증방식에대한안전성보증, 보안설정과애플리케이션에존재하는잠재적인보안취약점을제거하기위한개발보안등의요구사항이포함된다. 표 12 개발및구축단계의보안요구사항 분류통신채널보호인증안전성서비스가용성보안설정및관리 보안요구사항 모바일오피스서버와이용단말, 서버와기관내부자원간의통신은수립된규정요건에부합하여보호되어야하며, 모니터링및통신로그감독이가능하여야한다. 인증은쉽게우회되지않아야하며모든인증보안정책의시행하고인증강인성을테스트하여야한다. S/W간의기술적충돌 ( 예 : VPN 클라이언트와서버방화벽간의충돌등 ) 로인해서비스이용및단말기의작동이중단되지않도록고려하여야한다. 서비스서버, 인증서버, 이용자단말및 S/W 등모든구성요소를안전하게설정및관리하여야하며이를위해서는자동화된설정및관리시스템이요구된다. 로깅기관에서수립한정책에따라보안이벤트를로깅하여야한다. 개발보안 기본설정 서버및이용단말상의애플리케이션에존재하는잠재적인보안취약점을제거하기위한취약점점검및평가, 최신보안패치적용, 보안설정을적용하여야한다. 보안정책및요구사항을충족하도록기본설정값을선택하여야하며, 상호호환성등으로인해예기치않게설정이초기화되지않도록보장하여야한다. 라. 운영및유지보수 (Operations and Maintenance) 모바일오피스구성요소에대한패치및업데이트관리, 공격탐지, 사고대응 복구등과같은보안수준유지 관리활동을정기적으로수행하는단계로주요 보안요구사항은 [ 표 13] 과같다. http://www.fsec.or.kr 85
전자금융과금융보안 ( 제 6 호, 2016-04) 표 13 운영및유지보수단계의보안요구사항 분류패치관리보안성평가보안정책최신화보안이벤트관리 보안요구사항 모바일오피스관련 S/W 구성요소들의업그레이드및패치를확인하고이를테스트한후배포하여야한다. 취약점스캔, 침투테스팅, 로그검토등과같은보안성평가활동을수행하여야한다. 정책변경, 기술변경, 감사결과, 새로운보안요구사항등을반영하여접근제어정책을최신화하여야한다. 모바일오피스전반에서의비정상행위 ( 보안정책을벗어나는악성행위 ) 를탐지하여문서화하고타시스템의관리자에게공유하여야한다. 마. 폐기 (Disposal) 마지막폐기단계에서는모바일오피스시스템폐기와관련된법적요구사항을충족시키기위한정보보존, 미디어삭제, 장비폐기등의업무를수행한다. 특히기관소유의단말, BYOD 또는제3자소유의단말등모든유형의이용자단말에서모바일오피스애플리케이션및업무정보삭제등의요구사항이포함된다. 86 e-finance and Financial Security
Research 금융권모바일오피스보안고려사항에대한연구 Ⅴ 결론 모바일오피스는업무효율성개선등을목적으로금융, 행정등다양한분야에서도입되고있으며금융권에서는그룹웨어등의일반적인서비스뿐만아니라고객서비스의품질제고를위해방문계좌개설등과같은다양한서비스로활용범위가점차확대되고있다. 그러나스마트폰등과같은모바일단말기사용의보편화와함께기업업무에도활용되면서모바일오피스는기존의사내업무처리방식과비교하여새로운보안위협들에노출되고있다. 본고에서는국내 외관련보안가이드분석을통하여모바일오피스에서나타날수있는차별적인보안리스크를도출하였고, 이에따라모바일오피스구성요소별, 도입및운영시 ( 생명주기 ) 단계별보안요구사항을제시하였다. 금융회사에서는본고에서언급한바와같이모바일오피스도입시차별적운영환경을감안하여서비스도입계획및설계단계에서부터서비스별민감도 ( 그룹웨어또는대고객서비스등 ), 이용단말의소유형태 ( 개인또는회사소유 ) 등이고려된보안정책을수립하는것이필요하다. 특히단말기분실 도난으로인한타인의서비스접속및업무정보유출과악성코드에감염된모바일오피스단말기접속으로인한금융회사내부시스템으로의악성코드감염등에대응할수있도록보안정책을수립 운영하고보안요구사항을충족시키는것이요구된다. 이에본고에서제시한보안요구사항은다음과같이활용될수있다. 생명주기단계별로제시한보안요구사항의경우모바일오피스도입을계획중인기관에서체계적으로활용할수있으며이미도입또는운영중인경우에도각단계에해당하는보안요구사항을참고할수있다. 모바일오피스구성요소별로분류하여제시한보안요구사항의경우구성요소별로지정된보안책임자및관리자가각구성요소의보안성강화또는서비스효율성을고려하여적절한보안수준을유지시키는데효과적으로활용될수있다. http://www.fsec.or.kr 87
전자금융과금융보안 ( 제 6 호, 2016-04) 참고문헌 [1] 김종업, 영국의모바일오피스현황, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. [2] 윤석웅, 모바일오피스보안이슈, 한국인터넷진흥원 Internet & Security Focus 7월호, 2013.7. [3] 미래창조과학부, 한국인터넷진흥원, 모바일오피스정보보호안내서, 2013.12. [4] 금융감독원, 금융권스마트워크정보보호가이드라인, 2011.6. [5] 정대성, 모바일전자정부공통기반구축및서비스개발, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. [6] 한경아, 충남모바일오피스 로 스마트충남 구현, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. [7] 김경옥, 모바일오피스의공공분야도입을위한호주의노력, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. [8] M. Souppaya, and K. Scarfone, Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security, NIST Special Publication 800-64 Rev.2, Jul. 2016. [9] 황은진, 미국의공공기관모바일오피스, 한국지역정보개발원 Special Report, Vol.04, 2013.12.31. 88 e-finance and Financial Security