이 블로그 글의 AI 요약으로 바로 가기

규정과 표준은 기업이 일관된 사이버 보안 대응을 하도록 안내합니다. 최소한의 기준만 설정하더라도 규정집은 때때로 매우 제한적인 사이버 보안 방어 노력을 개선하는 역할을 합니다.

금융 서비스 조직은 세계에서 가장 엄격한 규제를 받는 조직 중 하나이므로 이러한 유형의 기업에 특화된 몇 가지 사이버 보안 규정 준수 표준이 있다는 것은 놀라운 일이 아닙니다. 이 글에서는 이러한 규정 중 일부를 살펴보고 패치, 특히 라이브 패치가 규정 준수의 핵심인 이유를 간략하게 설명합니다.

금융 서비스 관련 규정 준수 규정

상업 은행, 신용 조합, 보험 회사, 투자 은행, 핀테크 회사, 네오뱅크, 증권사 등의 금융 서비스 제공업체는 금융 서비스 고객의 고유한 요구를 고려한 특정 규정의 적용을 받습니다.

다음 금융 서비스 표준은 사이버 보안과 관련된 주제를 다루며, 이를 준수하지 않을 경우 벌금 또는 그 이상의 처벌을 받게 되는 금융 서비스 회사에 광범위한 영향을 미칩니다:

그램-리치-블라일리 법(GLBA): 금융 기관이 고객 정보의 보안과 기밀을 보호하도록 요구하는 연방법입니다. 여기에는 고객에게 매년 개인정보 보호 고지를 발송하고 고객에게 제3자와의 정보 공유를 거부할 수 있는 기회를 제공하는 것이 포함됩니다.
결제 카드 산업 데이터 보안 표준(PCI DSS): 금융 서비스를 위한 또 다른 주요 규정집인 PCI DSS는 결제 카드 정보를 수락, 처리, 저장 또는 전송하는 모든 조직에 적용됩니다. 여기에는 카드 소유자의 데이터를 보호하는 데 도움이 되는 일련의 보안 제어 및 모범 사례가 명시되어 있습니다.
뉴욕주 금융서비스국(NYDFS) 사이버 보안 규정: 뉴욕 주 법이지만 뉴욕 주에서 허가를 받거나 운영 중인 모든 회사에 적용되므로 그 범위가 넓습니다. NYDFS는 은행과 보험회사에 특정 정보 보안 요건을 포함하는 사이버 보안 프로그램을 수립하도록 요구합니다.

조직이 제공하는 서비스, 해당 서비스에 대한 결제 방식, 조직이 참여하는 관할권에 따라 위의 규정 준수 체제 중 하나만 적용될 수도 있고 실제로는 세 가지 모두 적용될 수도 있습니다.

고려해야 할 도구 및 가이드라인

도구와 가이드라인은 반드시 지켜야 하는 것은 아니더라도 유용한 목적을 달성하는 데 도움이 됩니다. 연방 금융 기관 검사 위원회(FFIEC)는 다음을 제공합니다. 사이버 보안 평가 도구 을 제공하여 금융 기관에서 사이버 보안 위험을 평가하고 보안 제어의 허점을 파악하는 데 사용합니다.

마찬가지로 금융 산업 규제 당국(FINRA) 는 가이드라인 을 제공하여 금융 서비스 회사가 사이버 위협으로부터 네트워크와 고객 데이터를 보호할 수 있도록 지원합니다.

금융 서비스 조직을 특별히 겨냥한 것은 아니지만, NIST의 사이버 보안 프레임워크 은 사이버 보안 위험을 광범위하게 다루는 공통 언어 역할을 하는 또 다른 중요한 프레임워크입니다. NIST는 미국 내 금융 서비스 회사에서 일반적으로 채택하고 있습니다.

금융 분야에서는 기업 도 종종 SOC 2 보고서는 금융 서비스를 제공하는 조직을 포함한 서비스 조직의 제어를 검사하는 감사 프로세스를 통해 생성되며, 이러한 모든 시스템의 보안, 가용성, 처리 무결성, 기밀성 및 개인 정보 보호를 다룹니다.

규정 준수의 핵심인 패치 적용

보안 의무사항이든 가이드라인이든, 외부 위협으로부터 시스템을 안전하게 보호한다는 점은 동일합니다. 패치는 이러한 안전을 확보하기 위해 가장 확실하게 해야 할 일 중 하나입니다. 알려진 취약점을 패치하면 위협 행위자가 더 이상 해당 취약점을 악용할 수 없습니다.

패치를 적용하면 특히 오늘날 많은 공격의 자동화되고 추측적인 특성을 고려할 때 공격 성공률이 낮을수록 공격 기회를 더 적게 악용할 수 있습니다. 이러한 이유로 PCI DSS를 비롯한 많은 사이버 보안 표준은 패치를 명시적으로 언급하고 있습니다..

패치 작업은 안타깝게도 지속적으로 제대로 수행하기 가장 어려운 작업 중 하나입니다. 패치 작업은 시간이 많이 소요되고 업무에 지장을 주기 때문입니다. 따라서 규정 준수 자동화와 실시간 패치 기술이 매우 중요한 가치를 지닙니다. 결국 일관된 패치 의도는 존재할 수 있으나, 실시간 패치 기술이 도입되지 않는 한 현실은 전혀 다른 결과를 초래할 수 있습니다.