캐피탈사의 개선해야 할 보안 방안

그냥 아쉬워서 정리해봄..

 

1. 고객 데이터 관리 주기 & DB 접근권한 최소화

why?
캐피탈사는 여신 심사, 대출 실행 과정에서 신용정보, 소득정보, 담보정보 같은 가장 민감한 금융 데이터를 다룬다. (이 정보들은 단순한 개인정보가 아니라 대출 승인, 한도 산정, 금리 결정에 직접적으로 영향을 주는 핵심 데이터이기 때문.. 이 정보가 조작/유출되면 대출 사기, 부정 대출, 한도 오남용과 같은 금융사고로 이어짐. 데이터 자체가 돈과 직결되는 정보이다.)
이 데이터가 유출되면 단순한 개인정보 침해가 아니라 신용평가, 대출승인까지 영향을 주는 금융사고로 이어진다.

 

how?
단순히 DB 암호화나 접근제한이 아니라, 데이터 접근 자체에 수명주기 관리를 적용해야 한다.

* 데이터 수명주기관리란 (DLM)?
데이터 입력에서 폐기에 이르기까지 라이프사이클 전반에 걸쳐 데이터를 관리하는 방식
좋은 DLM 프로세스는 비즈니스 데이터에 구조와 조직을 제공하며, 이를 통해 데이터 보안 및 데이터 가용성과 같은 프로세스 내 주요 목표 달성이 가능하다.

ex) 정기적 접근권한 검토를 수동이 아닌 자동화, 업무 변경/부서 이동 시 권한 자동 회수, 민감정보 조회 시 마스킹 적용, 개발/운영 환경 분리 등..

 

Impact
이러면 인가되지 않은 데이터 조회 가능성이 사라지고 감사 대응 시간이 줄어들 수 있다.

 

2. 서비스에 필요한 포트만 열기 (네트워크 최소공개)

why?
금융회사는 외부 공격의 대부분이 열린 포트/노출된 서비스로 들어온다. 클라우드 확대로 마이크로서비스가 많아지면 오픈 포트가 기하급수적으로 늘고, 관리되지 않은 포트 하나가 전체 금융서비스의 위험으로 이어진다.

 

how?
단순히 포트 차단이 아닌 ASM(Attack Surface Management) 기반으로 외부 노출자산을 자동스캔하고 노출된 포트, 취약 버전, 테스트 도메인을 식별해 실시간으로 조치할 수 있게 해야 한다.

* ASM (Attack Surface Management) : 공격 표면 관리
IT 환경에서 외부 공격자가 노릴 수 있는 기업과 기관의 모든 디지털 자산과 취약점인 공격 표면을 지속적으로 식별, 분석, 모니터링하여 보안 위협을 최소화하는 보안 프로세스 및 기술
클라우드 환경, 애플리케이션, 네트워크, IT 시스템 등 기업이 보유한 IT 자산을 포괄적으로 파악해 보안 취약점을 관리하는 데 중점을 둔다. 사용자는 ASM을 통해 해커가 공격할 수 있는 취약점을 찾아내고 사전에 조치해 위협으로부터 자산을 보호할 수 있음

금융보안원이 ASM 서비스를 자체 개발해 2025년 12월부터 서비스를 개시할 예정..

 

Impact
사전예방형 보안 체계를 만들 수 있다.