싱가포르 통화청(MAS)의 기술 위험 관리(TRM) 지침 준수

규정 개요

싱가포르 통화청(MAS, Monetary Authority of Singapore)은 금융사가 건전한 기술 위험 관리 조치를 확립하고 시스템 보안을 강화하며 민감한 데이터와 트랜잭션을 보호할 수 있도록 기술 위험 관리(TRM, Technology Risk Management) 지침을 발표했습니다.

TRM에는 싱가포르에서 사업을 펼치는 금융 기관이 채택하도록 요구받는 업계 모범 사례에 대한 설명이 포함되어 있습니다. TRM 요건에는 법적 구속력이 없으나 싱가포르 통화청에서는 이를 금융기관의 위험성을 평가하는 데 사용하는 벤치마크로 삼을 것임을 명시합니다.

지침 내용

• 8.4.4 금융 기관은 민감 정보나 기밀 정보를 외부 위치로 전송하여 저장하기 전에 USB 디스크를 포함한 백업 테이프·디스크를 암호화해야 합니다.
• 9.1.6 IT 시스템, 서버, 데이터베이스에 저장된 기밀 정보는 ‘최소 권한’ 원칙을 유념하여 강력한 액세스 제어를 통해 암호화하고 보호해야 합니다.
• 11.0.1.c 액세스 제어 원칙 – 금융 기관은 직무 책임·의무 이행 필요에 따라 액세스 권한과 시스템 권한을 부여해야 합니다. 금융 기관은 지위나 직급에 의해 기밀 데이터, 애플리케이션, 시스템 리소스 또는 시설에 액세스하는 고유 권리를 갖는 개인이 없도록 해야 합니다.
• 11.1.1 금융 기관은 필요에 따라, 액세스가 필요한 기간 내에만 사용자에게 IT 시스템과 네트워크에 대한 액세스 권한을 부여해야 합니다. 금융 기관은 리소스 소유자가 IT 리소스에 대한 모든 액세스 요청을 정당하게 인가하고 승인하는지 확인해야 합니다.
• 11.2 권한 계정 액세스 관리
• 11.2.3.d ‘필요’를 기반으로 권한 계정 액세스를 부여합니다.
• 11.2.3.e. 권한 있는 사용자의 시스템 활동 감사 로그를 유지 관리합니다.
• 11.2.3.f. 권한 있는 사용자가 자신의 활동 내역이 수집되는 시스템 로그에 액세스하지 못하도록 합니다.
• 13개 지불 카드의 보안(자동 입출금기, 신용·직불 카드)

탈레스는 처음부터 조직의 데이터 유출을 방지할 수 있도록 다음과 같은 방법으로 지원합니다.

• 인증받은 사용자만 시스템과 데이터에 액세스하도록 하는 액세스 제어
• 데이터가 도난당하더라도 사이버 범죄자에게 무의미하고 쓸모없게 만드는 암호화, 토큰화, 암호키 관리
• 보안 인텔리전스 로그로, 불규칙한 액세스 패턴과 진행 중인 침해 식별

강력한 액세스 관리 및 인증

탈레스가 제공하는 액세스 관리 및 인증 솔루션은 조직이 데이터 보안 규정을 준수하는 데 필요한 보안 메커니즘과 보고 기능을 모두 제공합니다. 사용자가 민감한 데이터를 저장하는 애플리케이션에 로그인할 때 적절한 접근 제어를 시행하여 민감한 데이터를 보호하는 솔루션입니다. 광범위한 인증 방법, 정책 및 역할 기반 액세스를 지원하는 탈레스 솔루션은 기업이 자격 증명의 손상이나 도난, 내부자의 자격 증명 남용으로 인한 데이터 유출 위험을 완화하도록 지원합니다.

스마트 SSO(싱글 사인 온) 및 단계별 인증 지원을 통해 기업이 최종 사용자의 편의를 최적화하여 필요할 때만 인증하도록 할 수 있습니다. 광범위한 보고를 통해 모든 액세스 및 인증 이벤트에 자세한 감사 이력을 생성하여 광범위한 규제 준수를 입증할 수 있습니다.

CipherTrust 데이터 보안 플랫폼

탈레스의 CipherTrust 데이터 보안 플랫폼은 광범위한 OS 플랫폼, 데이터베이스, 클라우드 환경, 빅데이터 구현 전반에 걸쳐 기업의 다양한 요구에 따라 확장 가능한 단일 프레임워크를 제공하여 저장 데이터 보안을 지원하는 유일한 솔루션입니다. 그 결과, 총 소유 비용이 낮을 뿐만 아니라 간단하고 효율적인 배포와 운영이 가능합니다.

• CipherTrust Transparent Encryption은 파일 및 볼륨 수준의 저장 데이터 암호화, 보안 키 관리, 법률 및 규정 체제 준수에 필요한 액세스 제어를 제공합니다.
• CipherTrust Key Management를 이용하면 KMIP 호환 하드웨어, Oracle, SQL 서버 TDE 마스터키와 디지털 인증서를 포함한 기타 환경과 장치의 암호키를 중앙에서 관리할 수 있습니다.
• CipherTrust 보안 인텔리전스는 진행 중인 사건을 식별할 수 있는 액세스 패턴 정보를 제공하여, 데이터를 훼손하는 악의적인 내부자, 권한 있는 사용자, APT, 기타 공격으로부터 한 차원 더 높은 보호를 제공합니다.
• CipherTrust Application Data Protection을 이용하는 기관은 필드와 열 수준에서 내부 애플리케이션에 암호화 기능을 쉽게 구축할 수 있습니다.
• CipherTrust Tokenization을 사용하면 관리자가 전체 필드를 토큰화하거나 필드 일부를 동적으로 마스킹하는 정책을 설정할 수 있습니다. 이 솔루션의 형태 보존 토큰화 기능을 사용하면 민감한 자산에 대한 액세스를 제한하는 동시에 많은 사용자가 작업을 수행할 수 있는 방식으로 보호하는 데이터의 형태를 지정할 수 있습니다.

탈레스 고속 암호 생성기

탈레스 고속 암호 생성기(High Speed Encryptor, HSE)는 네트워크에 의존하지 않는 이동 데이터 암호화(2~4개 계층)를 제공하여, 사이트 간 데이터 이동 시 또는 온프레미스에서 클라우드로 데이터를 이동할 때 데이터를 안전하게 보호합니다. 고객은 성능 저하 없이 합리적인 비용으로 탈레스의 HSE 솔루션을 이용할 수 있으며, 이 솔루션으로 데이터, 동영상, 음성 및 메타데이터를 도청이나 감시, 명백하거나 은밀한 가로채기로부터 효과적으로 보호할 수 있습니다.