# [별표 2의4] 클라우드컴퓨팅서비스 이용과 관련한 안전성 확보조치(제14조의2 관련)

<별표 2의4> <전문개정>



클라우드컴퓨팅서비스 이용과 관련한 안전성 확보조치(제14조의2 관련)



 클라우드서비스 관련 보안사고의 예방을 위해 계정관리, 접근통제 등 필수 보안 통제가 구현되도록 안전성 확보조치 방안을 수립하여 이행하여야 한다. 다만, 제14조의2제1항제1호에 따라 중요업무로 분류된 경우 필수 사항과 추가 사항을 모두 준수하여야 하고, 비중요업무로 분류된 경우 필수 사항만을 준수할 수 있다.



────────┬────────┬────────────────────────

  1.계정관리    │필수 사항       │- 제13조1제1항제1호, 제13조제1항제11호, 제      

                │(전자금융감독   │13조제2항, 제14조제6호, 제17조제2호             

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 클라우드 관리 콘솔에 접근하는 관리자 계정     

                │                │에 대한 이중인증 등 강화된 보안조치 적          

                │                │용                                              

────────┼────────┼────────────────────────

  2. 접근통제   │필수 사항       │- 제13조제1항제2호내지제3호, 제13조제3항,       

                │(전자금융감독   │제19조의2                                       

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 클라우드시스템 접근 절차를 문서화하고 관      

                │                │리 콘솔 관리자 계정의 경우 별도로 분리된        

                │                │단말에서만 접근하도록 조치                      

────────┼────────┼────────────────────────

  3. 네트워크   │필수 사항       │- 제15조제1항제3호, 제15조제6항제1호, 제17조    

  보안          │(전자금융감독   │제1호, 제18조                                   

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 시스템간 연계 및 클라우드서비스 내 주요       

                │                │통신 채널에 대한 암호화 적용                    

────────┼────────┼────────────────────────

  4. 금융회사   │필수 사항       │- 제12조제1호내지제4호, 제15조제1항제5호,       

  등의          │(전자금융감독   │제34조제1호, 제60조제1항제5호                   

  내부시스템과  │규정상 규율사항)│                                                

  클라우드      ├────────┼────────────────────────

  시스템 연계   │추가 사항       │- 내부시스템과 클라우드 시스템 간 연계되는      

                │                │데이터의 식별 및 관리                           

────────┼────────┼────────────────────────

  5. 암호화 및  │필수 사항       │- 제19조, 제19조의2, 제34조의3제1항, 개인정     

  키 관리       │(전자금융감독   │보보호법ㆍ신용정보보호법ㆍ정보통신망법 등       

                │규정상 규율사항)│관계법령에 따른 정보의 저장 및 송수신 시        

                │                │암호화 조치                                     

                ├────────┼────────────────────────

                │추가 사항       │- 클라우드서비스 제공자 등 외부자의 키접근      

                │                │가능성 등을 고려하여 키의 수명주기별 보         

                │                │안관리 방안 수립                                

────────┼────────┼────────────────────────

  6. 로깅       │필수 사항       │- 제13조제1항제9호, 제18조, 제25조              

                │(전자금융감독   │                                                

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 클라우드 관리 콘솔 관리자 등 주요 계정에 대   

                │                │한 활동 내역 로깅 및 주기적 검토                

────────┼────────┼────────────────────────

  7. 가상 환경  │필수 사항       │- 해당사항 없음                                 

  보안          │(전자금융감독   │                                                

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 가상 이미지 템플릿을 최신 상태로 유지하       

                │                │고, 이미지 무결성 등 보안사항을 주기적으        

                │                │로 점검                                         

────────┼────────┼────────────────────────

  8. 보안       │필수 사항       │- 제14조제1호, 제14조제4호, 제15조제1항제1호    

  모니터링 및   │(전자금융감독   │내지제2호, 제15조제2항내지제3항, 제16조,        

  취약점        │규정상 규율사항)│제37조의2                                       

  분석·평가    ├────────┼────────────────────────

                │추가 사항       │- 클라우드서비스 내 주요 변경 사항에 대한       

                │                │실시간 경보 설정 및 모니터링 실시               

                │                ├────────────────────────

                │                │- 주요 정보처리시스템의 경우 침해사고 대응      

                │                │기관의 통합보안관제 적용                        

────────┼────────┼────────────────────────

  9. 인적보안   │필수 사항       │-  제8조제1항제2호                              

                │(전자금융감독   │                                                

                │규정상 규율사항)│                                                

                ├────────┼────────────────────────

                │추가 사항       │- 클라우드서비스 제공자 및 클라우드서비스       

                │                │운영을 위탁받은 관리형 서비스 제공자 등         

                │                │의 권한과 책임을 식별하고 관리                  

────────┴────────┴────────────────────────