디지털 운영 복원력법(DORA)은 유럽연합(EU) 내 금융 서비스 산업에 중대한 영향을 미칠 핵심 법안으로 다가오고 있습니다. DORA는 규제 체계에 또 하나의 약어를 추가하는 데 그치지 않고, 디지털 영역의 사이버 보안과 운영 복원력을 강화하기 위한 근본적인 전환을 의미합니다. 조직들이 규정 준수를 준비함에 따라 DORA의 본질을 이해하는 것이 매우 중요해지고 있습니다.
디지털 운영 복원력법(Digital Operational Resilience Act)의 약자인 DORA는 금융 서비스 분야의 사이버 보안과 운영 복원력을 강화하기 위해 EU가 제정한 법률입니다. DORA에 따라 금융 기관과 핵심 제3자 기술 서비스 제공업체는 2025년 1월 17일까지 정보통신기술(ICT) 시스템에 관한 특정 기술 표준을 준수해야 합니다.
DORA를 준수하지 않을 경우 바람직하지 않은 결과를 초래할 수 있으므로, 미준수에 따른 위험은 매우 큽니다. 집행 당국은 DORA를 준수하지 않는 기관에 행정적 제재를 부과할 수 있으며, 경우에 따라 형사 처벌도 내릴 수 있는 권한을 갖게 됩니다. 법적 처벌뿐만 아니라 미준수 기관의 브랜드 평판도 심각하게 훼손될 수 있습니다.
기한이 다가옴에 따라 금융 서비스 부문에서 활동하는 조직은 DORA가 미치는 영향과 요구 사항을 지속적으로 파악하는 것이 매우 중요합니다. 이 블로그에서는 DORA의 세부 내용을 자세히 살펴보고, 운영 효율성을 극대화하면서 규정 준수를 보장하는 데 도움이 되는 전략과 가능한 솔루션을 알아봅니다.
DORA 관련 주요 고려 사항
조직이 디지털 운영 복원력법(DORA) 준수를 준비함에 따라, 세심한 주의가 필요한 몇 가지 주요 고려 사항이 대두되고 있습니다:
- 사이버 보안 사고의 적시 보고
DORA에 따라 사이버 보안 사고를 신속하게 보고하는 것은 선택 사항이 아닙니다. 조직은 사이버 보안 사고를 신속하게 식별하고 평가하여 보고할 수 있도록 강력한 사고 대응 체계를 구축해야 합니다. 사고를 적시에 보고하지 않을 경우 DORA에 따라 심각한 불이익을 받을 수 있습니다.
- 조직의 제3자 기관 의존성에 대한 투명성
DORA는 중요 서비스와 관련하여 조직이 제3자 기관에 의존하는 현황을 투명하게 공개할 것을 강조합니다. 조직은 제3자 기술 서비스 제공업체에 대한 의존도를 철저히 평가하고 공개해야 합니다. 여기에는 해당 제공업체가 필수 기술 표준을 충족하고 조직의 운영 복원력 목표 달성을 지원할 역량을 갖추었는지 확인하는 것이 포함됩니다.
- 규제 기관 또는 고객의 감사 문의에 대응할 수 있는 역량
DORA에 따른 또 다른 중요한 고려 사항은 규제 기관이나 고객의 감사 질의에 조직이 효과적으로 대응할 수 있는 역량입니다. 이를 위해서는 포괄적인 문서를 유지하고, 정기적인 평가를 수행하며, DORA의 요구 사항 준수를 입증할 수 있는 강력한 통제 체계를 구현해야 합니다. 조직은 의무화된 기술 표준과 운영 복원력 조치를 준수하고 있음을 입증할 증거를 제시할 준비가 되어 있어야 합니다.
F5 솔루션이 DORA 규정 준수를 지원하는 방법
The F5 Distributed Cloud Platform은 보안 인프라를 간소화하고 최적화하는 솔루션을 제공하여 조직이 DORA 규정 준수 과제에 더욱 효과적으로 정면 대응할 수 있도록 지원합니다. 여러 개별 솔루션에 대한 의존도를 줄임으로써 F5는 조직이 분산 환경 전반에서 보안 관리를 중앙 집중화하고 정책을 시행할 수 있도록 지원하여 운영을 간소화하고 보호 및 가시성을 강화합니다.
F5를 사용하면 앱이 어디에 호스팅되어 있든 전체 앱 환경에 일관된 정책을 배포하고 보안을 확장하는 일이 간편해집니다. 또한 F5 솔루션은 중앙 집중식 사용자 인터페이스를 통해 분산된 앱 인프라 전반에 걸쳐 유용한 인사이트와 텔레메트리를 제공하여 효율적인 모니터링과 관리를 지원합니다. "클릭 한 번으로 활성화하고 어디서나 실행"할 수 있는 보안 정책을 도입하면 전 세계에 일관되고 반복 가능한 보호 기능을 적용하고 시행할 수 있으므로, 금융 서비스 기관은 효과적이면서도 구현하기 쉬운 포괄적인 보안 조치의 이점을 누릴 수 있습니다.
또한 Heyhack을 통해 인수한 기술을 통합하여 F5 Distributed Cloud Services 웹 애플리케이션 스캐닝을 구축함으로써 고객은 강력한 자동화 보안 정찰 및 침투 테스트 기능을 이용할 수 있게 됩니다. 또한 수상 경력에 빛나는 F5의 Distributed Cloud Services는 API 보안을 지속적으로 강화하고 있으며, 여기에는 API 속도 제한 기능 확대, API 인벤토리 관리 개선, JWT 검증 기능 강화, 사용자 지정 패턴 탐지, 좀비 API 식별을 위한 API 검색 기능 개선이 포함됩니다.
마지막으로, F5의 SSL 솔루션을 통해 조직은 동적 정책 기반 복호화, 암호화 및 보안 검사 장비를 통한 트래픽 조정을 활용하여 인프라와 보안 투자의 효과를 극대화할 수 있습니다. 이는 전송 중 및 저장 시 암호화에 관한 DORA 요구사항과 관련하여 특히 중요합니다.
영향을 받는 모든 조직은 벌금을 피하고, 더 중요하게는 DORA 규정 준수 실패로 인한 평판 훼손을 방지할 수 있도록 보안 및 모니터링 역량을 충분히 강화하기 위해 서둘러야 합니다.
다행히도 이러한 새로운 규제 환경에서 성공하는 데 필요한 기술은 이미 준비되어 있습니다. F5 솔루션이 어떻게 도움이 되는지 여기에서 알아보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.