망분리
IT위키
더 많은 작업
- 보안성 확보를 위해 인터넷과 연결되는 외부망과, 폐쇄된 인트라넷 환경을 구분하여 운영하는 구조
- PC 2대를 놓고 하나는 인터넷용, 하나는 내부시스템 접근용으로 구분한다.
- 중요 서버 접근용 등 2개가 아닌 3개, 4개 등으로 구분할 수도 있다.
- 하나의 PC에서 가상화된 데스크톱을 열어 구분된 환경을 사용한다.
- PC 자체는 인터넷이 되는 PC인데 회사 내부 시스템에 접속하려면 가상 데스크탑을 띄워야 하는 경우, 그 반대의 경우도 있을 수 있다.
- 구분된 망 간 자료를 주고 받을 수 있게 하는 기술
- 망문리가 보안을 위한 것이므로 아무 자료나 오갈 수 있도록 하면 의미가 없다.
- 아래와 같은 부가적인 보안조치가 적용된다.
- 로깅(사유, 용도 기록 등)
- 관리자 승인
- 확장자 제한
- 바이러스 검사
- 개인정보 검사
제15조(해킹 등 방지대책) ① 금융회사 또는 전자금융업자는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 다음 각 호의 대책을 수립ㆍ운용하여야 한다.
- 3. 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리ㆍ차단 및 접속 금지. 다만, 다음 각 목의 경우에는 그러하지 아니하다.
- 가. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 연구ㆍ개발 목적의 경우(단, 금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 금융감독원장이 정한 망분리 대체 정보보호통제를 적용한 경우에 한한다) <신설 2022. 11. 23.>
- 나. 업무상 불가피한 경우로서 금융감독원장의 확인을 받은 경우 <신설 2022. 11. 23.>
제30조(개인정보의 안전성 확보 조치) ① 3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치
- 나. 개인정보처리시스템에 접속하는 개인정보취급자의 컴퓨터 등으로서 보호위원회가 정하여 고시하는 기준에 해당하는 컴퓨터 등에 대한 인터넷망의 차단. 다만, 전년도 말 기준 직전 3개월 간 그 개인정보가 저장ㆍ관리되고 있는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 이용자 수가 일일평균 100만명 이상인 개인정보처리자만 해당한다.
- 예전에는 「개인정보의 기술적·관리적 보호조치 기준」 제4조⑥이 '이용자 수 일일평균 100만명 이상 또는 정보통신서비스 부문 매출액 100억원 이상' 인 정보통신서비스 제공자등에게 망분리를 요구했다. 2023년 9월 이 고시가 「개인정보의 안전성 확보조치 기준」으로 통합되면서 매출액 기준은 없어지고 이용자 수 기준만 시행령으로 옮겨졌다.
제40조(내부망ㆍ인터넷망 분리) ① 각급기관의 장은 내부망과 기관 인터넷망을 분리ㆍ운영하여야 한다.
- ② 각급기관의 장은 내부망과 기관 인터넷망을 분리ㆍ운영하고자 할 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.
- ③ 각급기관의 장은 정보시스템에 부여되는 IP주소를 체계적으로 관리하여야 하며 비(非)인가자로부터 내부망을 보호하기 위하여 네트워크주소변환기(NAT)를 이용하여 사설 IP주소체계를 구축ㆍ운영하여야 한다. 또한 IP주소별로 정보시스템 접속을 통제하여 비(非)인가 기기에 의한 내부망 접속을 차단하여야 한다.
- ④ 각급기관의 장은 분리된 내부망과 기관 인터넷망간 자료전송을 위한 접점이 불가피한 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.
- ⑤ 각급기관의 장은 제1항에도 불구하고 예산 부족 등 사유로 부득이한 경우 국가정보원장과 협의하여 내부망과 기관 인터넷망을 분리하지 아니할 수 있다. 이 경우 다음 각 호의 사항을 포함한 보안대책을 수립ㆍ시행하여야 한다.