EU 디지털 운영 복원력 법(DORA) 대비하기

Bart Salaets현장 최고기술책임자 | F5

유럽의 정책 입안자들은 역내 핵심 디지털 인프라를 겨냥한 사이버 공격에 대해 갈수록 우려하고 있습니다.

금융 부문이 변화하는 위협에 더욱 효과적으로 대응할 수 있도록 EU는 디지털 운영 복원력법(DORA) 규정을 마련했으며, 이 규정은 2025년 1월부터 적용됩니다.

DORA의 적용 범위는 광범위하며, EU 내에서 운영되는 22,000개 이상의 금융 기관과 해당 기관의 ICT 서비스 제공업체를 포괄합니다. 또한 이러한 기관과 거래하는 EU 역외 기업에도 영향을 미칩니다.

본질적으로 DORA 규정 준수는 금융 서비스 기업이 직면한 위험을 반영하는 더욱 강력하고 포괄적인 보안 전략을 수립할 수 있는 토대입니다.

대부분의 은행은 오래전부터 엄격한 보안 조치를 시행해 왔지만, DORA는 신용기관과 결제기관, 암호자산 서비스 제공업체, 중앙예탁기관, 신용평가회사 등 보다 전문적인 기관까지 포괄함으로써 금융 생태계 전반의 방어 체계를 강화하도록 설계되었습니다. DORA는 금융기관이 데이터 훼손 또는 손실 위험을 최소화하고, 무단 접근과 사업 활동을 저해할 수 있는 기술적 결함을 방지하며, ICT 시스템의 가용성을 유지하도록 요구합니다.

규정 준수 보장

오늘날 금융 기관은 물론 대부분의 다른 기업에서도 애플리케이션과 데이터는 비즈니스 운영에 필수적인 핵심 자산입니다. DORA를 준수하고 분산 서비스 거부(DDoS) 공격 및 기타 공격이 발생하는 동안에도 운영을 지속하려면 강력한 웹 애플리케이션 방화벽(WAF)과 같은 기술로 이러한 자산을 완벽하게 보호하는 것이 매우 중요합니다.

또한 DORA는 금융 기관이 ICT 네트워크 성능 문제 및 관련 인시던트를 비롯한 비정상 활동을 신속하게 탐지하고, 중대한 영향을 미칠 수 있는 잠재적 단일 장애 지점을 식별하도록 요구합니다. 심각한 인시던트가 발생한 경우 금융 기관은 반드시 규제 기관과 영향을 받는 고객 및 파트너에게 통지해야 합니다. 이후 인시던트 해결 진행 상황을 보고하고 근본 원인을 분석한 최종 보고서를 작성해야 합니다.

이러한 요구 사항을 충족하려면 금융 기관은 자사 앱의 성능 및 보안 상태를 완벽하게 파악할 수 있어야 합니다. 바로 이 부분에서 F5 Distributed Cloud Console 이 큰 역할을 할 수 있습니다. 전체 앱 환경에 대한 통합된 엔드투엔드 가시성을 제공하도록 설계되어 DORA의 디지털 복원력 규정 준수 요건 대부분을 충족합니다.

F5 Distributed Cloud Console은 DORA의 보다 세부적인 요구 사항을 충족하는 데도 도움이 됩니다. 예를 들어, 금융 기관은 침투 테스트를 통해 ICT 도구, 시스템 및 프로세스를 최소 3년마다 테스트해야 합니다.

최근까지 이러한 유형의 활동은 전문성을 갖춘, 그리고 대개 비용이 많이 드는 ‘화이트햇’ 해커들의 영역이었습니다. 하지만 이제는 상황이 달라져 전체 프로세스를 자동화할 수 있게 되었습니다.

올해 초 F5는 Distributed Cloud Web App Scanning 솔루션을 출시했습니다. 이 솔루션을 통해 조직은 인터넷, 공개 리포지토리, 노출된 서버 및 기타 소스를 지속적으로 모니터링하여 외부에 공개된 앱 서비스, 데이터 및 취약점을 통합 관리할 수 있습니다. 또한 자동화된 침투 테스트를 수행하고, 잠재적 취약점을 식별하며, 문제에 대한 증거를 확보하고, 보안을 강화하고 규정 준수를 보장하기 위한 해결 지침을 받을 수 있습니다.

자동화 수준이 높아지면 프로젝트별로 수행하는 것보다 지속적인 침투 테스트를 운영하는 것이 비용 효율적이므로, 새로운 제품과 서비스를 적시에 출시할 수 있습니다.

ICT 자산 전반에 보안을 내재화하기

모든 기업은 DORA를 준수하기 위해 특정 포인트 솔루션을 도입하려 하기보다는 디지털 보안에 대한 총체적인 접근 방식을 지향해야 합니다. AI의 발전으로 자동화 수준이 높아지면서 ICT 인프라, 구성 요소, 앱 및 관련 애플리케이션 프로그래밍 인터페이스(API)의 설계, 개발, 배포 과정에 보안을 훨씬 더 쉽게 통합할 수 있게 되었습니다.

이제 디지털 경제의 중추 신경계라고 할 수 있는 API는 특히 중요합니다. 조직은 애플리케이션 개발 프로세스에 취약점 탐지 기능을 통합하는 데 총력을 기울여, API가 프로덕션 환경에 배포되기 전에 위험을 식별하고 정책을 적용해야 합니다.

이처럼 증가하는 요구에 직접 대응하기 위해 F5 Distributed Cloud Services는 업계에서 가장 포괄적이며 AI를 지원하는 API 보안 솔루션을 제공합니다. 기업이 API의 개발 단계와 런타임 보안을 위해 서로 다른 도구 세트와 기능을 사용해야 했던 시대는 지났습니다. F5는 애플리케이션 개발 프로세스에서 취약점 탐지와 관측성을 지원하여 API가 프로덕션 환경에 배포되기 전에 위험을 식별하고 정책을 구현할 수 있도록 합니다. API 보안이 그 어느 때보다 중요하고 복잡해진 지금, F5는 고객이 별도의 API 보안 솔루션에 비용을 지불하고 이를 관리해야 할 필요성을 없애고 있습니다. API 검색, 테스트, 보안 태세 관리, 런타임 보호를 모두 단일 플랫폼에서 제공하는 것은 임박한 DORA의 복잡성에 대비하는 데 큰 이점이 될 수 있습니다.

궁극적으로 DORA를 골칫거리로 여겨서는 안 됩니다. 오히려 조직 전반의 필수 보안 조치를 개선하고 강화할 수 있는 중요한 기회입니다. 그럼에도 이는 하나의 여정이며, 일부는 보안이 실제로 무엇을 의미하고 어떻게 표현되는지에 대한 인식을 바꿔야 할 것입니다.

다행히도 앞으로 닥칠 과제에 대응해야 하는 모든 조직을 위해 F5는 DORA의 모니터링 및 보고 요건을 준수하는 데 필요한 다양한 도구를 제공할 뿐만 아니라, 치명적인 사이버 보안 공격의 위험도 크게 낮춰 줍니다.

작성자 소개

Bart Salaets현장 최고기술책임자 | F5

Bart Salaets의 다른 블로그 게시물