이 블로그는 2025년에 처음 게시되었으며 업데이트되었습니다.
‘디지털 운영 복원력 법(DORA)’은 금융 기관이 ICT 장애를 관리, 모니터링 및 복구하는 방식을 규정하는 현행 준수 의무 사항으로, 2025년 1월 17일부터 시행되었습니다. 이 법은 CISO(정보보안책임자)의 관점에서 신원을 단순한 접근 수단이 아닌 핵심 운영 복원력 통제 수단으로 재정의합니다.
규정 준수는 종종 ~에서 피할 수 없는 부담으로 여겨지곤 합니다. 금융 서비스—벌금이나 평판 손상을 피하기 위해 체크해야 할 일련의 항목들. 하지만 ‘디지털 운영 복원력 법(DORA)’은 단순한 체크리스트 작업이 아닙니다. 이 법은 규제 당국이 유럽 기업들이 디지털 위험을 관리하는 방식에 대해 기대하는 바가 근본적으로 변화했음을 보여줍니다.
DORA란 무엇인가요?
‘디지털 운영 복원력 법(DORA)’은 EU 규정 2022/2554로, 금융 기관이 정보통신기술(ICT) 장애에 견디고, 이에 대응하며, 장애로부터 복구할 수 있음을 입증하도록 요구합니다. 이 법은 ICT 위험 관리, 사고 보고, 복원력 테스트, 제3자 위험 관리, 정보 공유 등 다섯 가지 핵심 분야를 다룹니다.
CISO와 ID 리더에게 DORA는 규정 준수를 장기적인 위험 감소와 회복탄력성의 원동력으로 전환할 수 있는 기회입니다. 이러한 기회를 실현하려면 ID부터 시작해야 합니다.
DORA의 ICT 위험 관리 축은 특히 강력한 접근 통제, 다중 요소 인증, 감사 준비가 완료된 신원 기록을 요구하며, 이를 통해 신원 관리는 단순한 보조 기능이 아닌 규정 준수의 운영적 토대가 됩니다.
금융 기관 내의 모든 디지털 거래는 ‘누가 접근을 요청하고 있는가?’라는 기본적인 보안 질문에서 시작됩니다. 하이브리드화되고, 클라우드에 연결되며, 원격 업무가 가능해지는 환경이 확대됨에 따라 신원 확인 및 관리는 그 어느 때보다 복잡해졌을 뿐만 아니라 그 중요성도 더욱 커졌습니다.
DORA는 안전하고 탄력적인 ID 시스템 없이는 어떤 조직도 위기 상황에서 운영의 연속성을 유지할 수 없다는 사실을 잘 알고 있습니다. ID에 대한 통제력을 잃으면 비즈니스에 대한 통제력도 잃게 됩니다.
기존의 ID 시스템은 오늘날의 위협 환경이나 규제 기대치에 맞게 설계되지 않았습니다. 이러한 시스템은 사후 대응적이고 정책 중심적이며 비밀번호와 수동 프로세스에 크게 의존하는 경우가 많습니다.
일반적인 차이점은 다음과 같습니다:
- 정적 액세스 정책 컨텍스트 위험을 고려하지 않는
- 가시성 부족 실시간 신원 행동으로
- 느린 사고 대응 사일로화된 ID 도구로 인해
- 백업 전략 없음 IAM 시스템이 오프라인 상태인 경우
DORA는 더 많은 것을 요구합니다. 이 규정은 기관들이 운영 복원력 프로그램의 일환으로 신원 관련 위험을 선제적으로 관리할 것을 기대합니다. 2025년 1월 17일을 기점으로 DORA의 시행 단계가 시작됨에 따라, EU 내에서 영업하는 금융 기관들은 이제 이러한 요건을 준수해야 합니다.
신원 위험 관리 규칙 기반의 접근 제어를 넘어, 각 사용자, 기기 및 접근 시도의 위험 수준을 지속적으로 평가하고, 이러한 신호에 따라 인증 요건을 실시간으로 동적으로 조정합니다.
예를 들어
- 사용자가 신뢰할 수 있는 디바이스의 알려진 위치에서 로그인하고 있나요?
- 그들의 행동은 역사적 양상과 일치하는가?
- 소셜 엔지니어링을 나타낼 수 있는 헬프 데스크 요청이 증가했나요?
이러한 신호는 인증 및 액세스 결정을 안내하는 실시간 위험 프로필을 구축하는 데 도움이 됩니다.
RSA 솔루션은 피싱 방지 인증 및 행동 기반 위험 탐지부터 하이브리드 장애 복구 및 거버넌스 보고에 이르기까지, DORA의 모든 신원 관련 요구 사항을 충족합니다:
- Risk AI 행동 신호를 분석하여 위험한 접근을 탐지하고 차단합니다
- 헬프 데스크 실시간 확인 인간 상호 작용 지점에서 소셜 엔지니어링 공격을 방지합니다.
- 비밀번호 없는 솔루션 (FIDO2 인증 솔루션, OTP, 생체인식 등) 자격증명 관련 침해 감소
- RSA 거버넌스 및 수명 주기 정책 시행 및 규정 준수 보고 간소화
- 하이브리드 페일오버 시스템 다운 시에도 인증이 계속되도록 보장합니다.
이러한 도구를 함께 사용하면 기관은 동적인 데이터 기반 위험 기능으로 ID를 관리할 수 있습니다.
DORA의 최소 요건을 충족하는 것은 최저 기준일 뿐, 상한선이 아닙니다. DORA를 신원 관리 현대화의 원동력으로 삼는 기관은 이를 단순한 체크리스트 이행으로만 여기는 기관에 비해 보안 침해 사고를 줄이고, 감사 과정을 단축하며, 더 탄력적인 운영 체계를 구축하게 될 것입니다.
지금 ID 위험 관리에 투자하면 CISO는 다음과 같은 효과를 얻을 수 있습니다:
- 침해 가능성 및 영향 감소
- 감사 비용과 복잡성 감소
- 적응형 암호 없는 액세스를 통한 사용자 경험 개선
- 모든 디지털 운영 전반에서 지속적인 복원력 구축
DORA는 정체성에 대해 다시 생각하게 하는 경각심을 불러일으킵니다. 단순한 접속 게이트키퍼가 아니라 중요한 위험 신호이자 회복탄력성의 초석으로 인식해야 합니다.
RSA를 통해 금융 기관들은 이러한 과제를 극복할 수 있을 뿐만 아니라, 단순히 규정 준수를 위한 수단으로만 신원 정보를 활용하는 데 그치지 않고 이를 통해 선도적인 역할을 수행할 수 있습니다.
RSA 웨비나를 시청하세요, DORA 및 디지털 리스크: 금융 서비스 분야의 신원 보안 강화, 신원 보안 분야에서 DORA 준수가 실제로 무엇을 의미하는지, DORA 감사를 대비하기 위한 모범 사례, 그리고 사용자 권한 부여, 접근, 인증 및 비즈니스 연속성과 관련된 주요 준수 의무를 알아보십시오.
DORA(디지털 운영 복원력 법)는 금융 기관 및 해당 기관의 핵심 ICT 제3자 공급업체가 위험 관리, 사고 보고, 복원력 테스트, 제3자 위험, 정보 공유라는 5대 축을 통해 ICT 장애에 대한 복원력을 입증하도록 요구하는 EU 법안입니다. 이 법은 2025년 1월 17일부터 시행되어, EU 내에서 운영되는 기관들에게 실질적인 규제 의무가 되었습니다.
DORA는 2023년 1월에 발효되었으며, 2년의 이행 기간이 부여되었습니다. 시행일은 2025년 1월 17일이었으므로, 금융 기관들은 이제 의무적인 준수 요건을 이행해야 하며 EU 금융 규제 당국의 적극적인 감독을 받게 됩니다.
DORA의 ICT 위험 관리 축은 강력한 접근 제어, 다단계 인증, 그리고 신원 관련 이벤트에 대한 완전한 감사 추적을 요구합니다. 탄력적인 신원 관리 시스템이 없다면, 조직은 DORA가 요구하는 운영 연속성을 입증할 수 없을 뿐만 아니라, DORA가 요구하는 사고 보고를 가장 빈번하게 유발하는 자격 증명 기반 공격으로부터 조직을 방어할 수도 없습니다.
EU 규제 당국은 지속되는 위반 행위에 대해 전 세계 일일 평균 매출액의 최대 1%에 해당하는 과징금을 부과하거나, 경영진에게 최대 500만 유로의 과징금을 부과할 수 있다. 재정적 제재 외에도, 규제 당국은 기관에 DORA 요건을 위반하는 활동을 중단하도록 요구할 수 있다.
DORA 감사는 기관이 실시간 신원 가시성, 문서화된 접근 제어, 검증된 사고 대응 절차를 입증할 수 있는지 여부를 평가합니다. 조직은 감사 기간이 시작되기 전에 모든 인증 이벤트에 대한 완전한 감사 추적 기록을 확보하고, 정기적인 사용자 접근 검토를 실시하며, 신원 관리 시스템에 대한 문서화된 장애 복구 절차를 마련해야 합니다.
DORA는 피싱에 강한 다단계 인증(MFA), 접근 행태에 대한 지속적인 모니터링, 그리고 서비스 중단 시에도 정상적으로 작동하는 인증 기능을 요구합니다. 하드웨어 보안 키, 위험 기반 인증, 그리고 다음과 같은 하이브리드 장애 조치 기능—예를 들어 RSA ID Plus—이러한 요구 사항을 충족하도록 특별히 설계되었습니다.
GDPR은 개인 데이터의 개인정보 보호, 즉 데이터의 수집, 저장 및 처리 방식을 규정합니다. DORA는 운영 복원력을 규정하며, 금융 기관이 ICT 시스템을 지속적으로 가동하고 장애 발생 시 복구할 수 있는지를 다룹니다. 두 프레임워크는 신원 데이터와 관련된 부분에서 중복되는 부분이 있지만, DORA의 주된 초점은 데이터 처리가 아닌 비즈니스 연속성에 있습니다.
신원 위험 관리란 사용자, 기기 및 접근 시도의 위험 수준을 지속적으로 평가하고, 이러한 신호를 바탕으로 인증 요건을 실시간으로 조정하는 것을 의미합니다. DORA에 따르면, 이러한 접근 방식은 기존 IAM 도구가 제공하는 사후 대응적이고 정책 위주의 모델과는 달리, 선제적인 ICT 위험 관리의 핵심입니다.
