규정 준수 그 이상: 신원 위험 관리가 DORA 준비성을 높이는 방법

이 블로그는 2025년에 처음 게시되었으며 업데이트되었습니다. 

‘디지털 운영 복원력 법(DORA)’은 금융 기관이 ICT 장애를 관리, 모니터링 및 복구하는 방식을 규정하는 현행 준수 의무 사항으로, 2025년 1월 17일부터 시행되었습니다. 이 법은 CISO(정보보안책임자)의 관점에서 신원을 단순한 접근 수단이 아닌 핵심 운영 복원력 통제 수단으로 재정의합니다.

규정 준수는 종종 ~에서 피할 수 없는 부담으로 여겨지곤 합니다. 금융 서비스—벌금이나 평판 손상을 피하기 위해 체크해야 할 일련의 항목들. 하지만 ‘디지털 운영 복원력 법(DORA)’은 단순한 체크리스트 작업이 아닙니다. 이 법은 규제 당국이 유럽 기업들이 디지털 위험을 관리하는 방식에 대해 기대하는 바가 근본적으로 변화했음을 보여줍니다.

CISO와 ID 리더에게 DORA는 규정 준수를 장기적인 위험 감소와 회복탄력성의 원동력으로 전환할 수 있는 기회입니다. 이러한 기회를 실현하려면 ID부터 시작해야 합니다.

DORA의 ICT 위험 관리 축은 특히 강력한 접근 통제, 다중 요소 인증, 감사 준비가 완료된 신원 기록을 요구하며, 이를 통해 신원 관리는 단순한 보조 기능이 아닌 규정 준수의 운영적 토대가 됩니다.

금융 기관 내의 모든 디지털 거래는 ‘누가 접근을 요청하고 있는가?’라는 기본적인 보안 질문에서 시작됩니다. 하이브리드화되고, 클라우드에 연결되며, 원격 업무가 가능해지는 환경이 확대됨에 따라 신원 확인 및 관리는 그 어느 때보다 복잡해졌을 뿐만 아니라 그 중요성도 더욱 커졌습니다.

DORA는 안전하고 탄력적인 ID 시스템 없이는 어떤 조직도 위기 상황에서 운영의 연속성을 유지할 수 없다는 사실을 잘 알고 있습니다. ID에 대한 통제력을 잃으면 비즈니스에 대한 통제력도 잃게 됩니다.

기존의 ID 시스템은 오늘날의 위협 환경이나 규제 기대치에 맞게 설계되지 않았습니다. 이러한 시스템은 사후 대응적이고 정책 중심적이며 비밀번호와 수동 프로세스에 크게 의존하는 경우가 많습니다.

일반적인 차이점은 다음과 같습니다:

• 정적 액세스 정책 컨텍스트 위험을 고려하지 않는
• 가시성 부족 실시간 신원 행동으로
• 느린 사고 대응 사일로화된 ID 도구로 인해
• 백업 전략 없음 IAM 시스템이 오프라인 상태인 경우

DORA는 더 많은 것을 요구합니다. 이 규정은 기관들이 운영 복원력 프로그램의 일환으로 신원 관련 위험을 선제적으로 관리할 것을 기대합니다. 2025년 1월 17일을 기점으로 DORA의 시행 단계가 시작됨에 따라, EU 내에서 영업하는 금융 기관들은 이제 이러한 요건을 준수해야 합니다.

신원 위험 관리 규칙 기반의 접근 제어를 넘어, 각 사용자, 기기 및 접근 시도의 위험 수준을 지속적으로 평가하고, 이러한 신호에 따라 인증 요건을 실시간으로 동적으로 조정합니다.

예를 들어

• 사용자가 신뢰할 수 있는 디바이스의 알려진 위치에서 로그인하고 있나요?
• 그들의 행동은 역사적 양상과 일치하는가?
• 소셜 엔지니어링을 나타낼 수 있는 헬프 데스크 요청이 증가했나요?

이러한 신호는 인증 및 액세스 결정을 안내하는 실시간 위험 프로필을 구축하는 데 도움이 됩니다.

RSA 솔루션은 피싱 방지 인증 및 행동 기반 위험 탐지부터 하이브리드 장애 복구 및 거버넌스 보고에 이르기까지, DORA의 모든 신원 관련 요구 사항을 충족합니다:

• Risk AI 행동 신호를 분석하여 위험한 접근을 탐지하고 차단합니다
• 헬프 데스크 실시간 확인 인간 상호 작용 지점에서 소셜 엔지니어링 공격을 방지합니다.
• 비밀번호 없는 솔루션 (FIDO2 인증 솔루션, OTP, 생체인식 등) 자격증명 관련 침해 감소
• RSA 거버넌스 및 수명 주기 정책 시행 및 규정 준수 보고 간소화
• 하이브리드 페일오버 시스템 다운 시에도 인증이 계속되도록 보장합니다.

이러한 도구를 함께 사용하면 기관은 동적인 데이터 기반 위험 기능으로 ID를 관리할 수 있습니다.

DORA의 최소 요건을 충족하는 것은 최저 기준일 뿐, 상한선이 아닙니다. DORA를 신원 관리 현대화의 원동력으로 삼는 기관은 이를 단순한 체크리스트 이행으로만 여기는 기관에 비해 보안 침해 사고를 줄이고, 감사 과정을 단축하며, 더 탄력적인 운영 체계를 구축하게 될 것입니다.

지금 ID 위험 관리에 투자하면 CISO는 다음과 같은 효과를 얻을 수 있습니다:

• 침해 가능성 및 영향 감소
• 감사 비용과 복잡성 감소
• 적응형 암호 없는 액세스를 통한 사용자 경험 개선
• 모든 디지털 운영 전반에서 지속적인 복원력 구축

DORA는 정체성에 대해 다시 생각하게 하는 경각심을 불러일으킵니다. 단순한 접속 게이트키퍼가 아니라 중요한 위험 신호이자 회복탄력성의 초석으로 인식해야 합니다.

RSA를 통해 금융 기관들은 이러한 과제를 극복할 수 있을 뿐만 아니라, 단순히 규정 준수를 위한 수단으로만 신원 정보를 활용하는 데 그치지 않고 이를 통해 선도적인 역할을 수행할 수 있습니다.

RSA 웨비나를 시청하세요, DORA 및 디지털 리스크: 금융 서비스 분야의 신원 보안 강화, 신원 보안 분야에서 DORA 준수가 실제로 무엇을 의미하는지, DORA 감사를 대비하기 위한 모범 사례, 그리고 사용자 권한 부여, 접근, 인증 및 비즈니스 연속성과 관련된 주요 준수 의무를 알아보십시오.