<별표 2의4> <전문개정>

클라우드컴퓨팅서비스 이용과 관련한 안전성 확보조치(제14조의2 관련)

클라우드서비스 관련 보안사고의 예방을 위해 계정관리, 접근통제 등 필수 보안 통제가 구현되도록 안전성 확보조치 방안을 수립하여 이행하여야 한다. 다만, 제14조의2제1항제1호에 따라 중요업무로 분류된 경우 필수 사항과 추가 사항을 모두 준수하여야 하고, 비중요업무로 분류된 경우 필수 사항만을 준수할 수 있다.

1.계정관리	필수 사항 (전자금융감독 규정상 규율사항)	- 제13조1제1항제1호, 제13조제1항제11호, 제13조제2항, 제14조제6호, 제17조제2호
	추가 사항	- 클라우드 관리 콘솔에 접근하는 관리자 계정에 대한 이중인증 등 강화된 보안조치 적용
2. 접근통제	필수 사항 (전자금융감독 규정상 규율사항)	- 제13조제1항제2호내지제3호, 제13조제3항, 제19조의2
	추가 사항	- 클라우드시스템 접근 절차를 문서화하고 관리 콘솔 관리자 계정의 경우 별도로 분리된 단말에서만 접근하도록 조치
3. 네트워크 보안	필수 사항 (전자금융감독 규정상 규율사항)	- 제15조제1항제3호, 제15조제6항제1호, 제17조제1호, 제18조
	추가 사항	- 시스템간 연계 및 클라우드서비스 내 주요 통신 채널에 대한 암호화 적용
4. 금융회사 등의 내부시스템과 클라우드 시스템 연계	필수 사항 (전자금융감독 규정상 규율사항)	- 제12조제1호내지제4호, 제15조제1항제5호, 제34조제1호, 제60조제1항제5호
	추가 사항	- 내부시스템과 클라우드 시스템 간 연계되는 데이터의 식별 및 관리
5. 암호화 및 키 관리	필수 사항 (전자금융감독 규정상 규율사항)	- 제19조, 제19조의2, 제34조의3제1항, 개인정보보호법ㆍ신용정보보호법ㆍ정보통신망법 등 관계법령에 따른 정보의 저장 및 송수신 시 암호화 조치
	추가 사항	- 클라우드서비스 제공자 등 외부자의 키접근 가능성 등을 고려하여 키의 수명주기별 보안관리 방안 수립
6. 로깅	필수 사항 (전자금융감독 규정상 규율사항)	- 제13조제1항제9호, 제18조, 제25조
	추가 사항	- 클라우드 관리 콘솔 관리자 등 주요 계정에 대한 활동 내역 로깅 및 주기적 검토
7. 가상 환경 보안	필수 사항 (전자금융감독 규정상 규율사항)	- 해당사항 없음
	추가 사항	- 가상 이미지 템플릿을 최신 상태로 유지하고, 이미지 무결성 등 보안사항을 주기적으로 점검
8. 보안 모니터링 및 취약점 분석·평가	필수 사항 (전자금융감독 규정상 규율사항)	- 제14조제1호, 제14조제4호, 제15조제1항제1호내지제2호, 제15조제2항내지제3항, 제16조, 제37조의2
	추가 사항	- 클라우드서비스 내 주요 변경 사항에 대한 실시간 경보 설정 및 모니터링 실시
		- 주요 정보처리시스템의 경우 침해사고 대응기관의 통합보안관제 적용
9. 인적보안	필수 사항 (전자금융감독 규정상 규율사항)	- 제8조제1항제2호
	추가 사항	- 클라우드서비스 제공자 및 클라우드서비스 운영을 위탁받은 관리형 서비스 제공자 등의 권한과 책임을 식별하고 관리