금융 산업의 제로 트러스트 적용에 관한 연구
A Study on the Application of Zero Trust in the Financial Industry
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
제로 트러스트(Zero Trust)는 기존 정적 네트워크 기반 경계와 다르게 방어시스템이 보호해야 하는 대상(사용자, 자산 및 리소스)에 초점이 맞춰 진 사이버 보안 패러다임이다. 제로 트러스트는 물리적 또는 네트워크 위치만을 기반으로 하거나 자산 소유권을 기반으로 자산이나 사용자 계정에 부여되는 암묵적 신뢰가 없다고 가정한다. 제로 트러스트 정책을 모든 산업에 적용하는 것은 무리가 있으나 금융산업은 국가 사이버 보안정책의 근간이기에 제로 트러스트의 우선 적용이 필요한 시점이다. 금융분야 클라우드 망분리 완화에 제로 트러스트 의무화를 명문화하고, 이를 금융업무 전반에 확대하도록 유도해야 할 필요성이 있다. 최근 금융보안 전문가들은 정보시스템 개발 및 테스트 단계부터 제로 트러스트 정책을 의무화하고, 이를 금융업무 전반에 확대하도록 유도해야 한다고 주장한 바 있다. 금융기관은 제로 트러스트 아키텍처 구현을 위한 복합적·하이브리적 환경을 고려하여 구현 방안을 실천해 나가야 한다. 본 연구의 목적은 사이버 보안에 제로 트러스트 개념을 도입하는 것이 어떠한 의미를 갖는지 살펴보고, 제로 트러스트 보안모델의 핵심요소를 살펴본다. 다음으로 제로 트러스트 가이드라인과 보안 아키텍처를 바탕으로 금융 산업의 제로 트러스트 적용방안을 제시하는 것이다. 본 연구는 금융 산업의 제로 트러스트 적용 방안으로 SDP 방식의 제로 트러스트 구현, 표준화된 사이버 보안 프레임워크를 적용한 금융권 제로 트러스트 보안모델 구축, 금융보안 자동화 및 금융보안 오케스트레이션(금융권 SOAR) 솔루션 구축과정을 제안하였다.
Abstract
Zero Trust is a cybersecurity paradigm that its protection mechanism differs from a predominant static network-based perimeter defense. Moving away from this static network-based perimeter defense, the protection mechanism of Zero Trust focuses primarily on what it is supposed to protect such as users, assets, and resources. Zero Trust assumes that no implicit trust is granted to an asset or user account based solely on physical or network location, or based on asset ownership. Recently, financial security experts have argued that Zero Trust policies should be mandated from the development and testing stage of an information system, and should be encouraged to apply them to all financial services. Financial institutions ought to take into consideration of the complex and hybrid nature of cybersecurity of the finance industry when implementing Zero Trust architecture. Thus, we first introduce the concept of Zero Trust and examine the key elements of Zero Trust security model. Next, basing on Zero Trust guidelines and security architecture, we propose three feasible methods for applying Zero Trust to the financial industry. They are implementation of Zero Trust by using the SDP(Software Defined Perimeter), establishing a Zero Trust security model based on a standardized cybersecurity framework, and constructing financial security automation and financial sector SOAR(Security Orchestration, Automation and Response) solutions.
참고문헌 (15)
- No more chewy centers: The zero trust model of information security, "J. Kindervag", Forrester Research, ~ (2016)
- "Executive Order on Improving the Nation’s Cybersecurity" (2023)[URL]
- zero trust architecture, SP 800-207, "NIST", National Institute of Standards and Technology Special Publication, 4~21, pp.Vol. SP 800-207 (2020)
- A. S. Ometov, "Multi-factor authentication: A survey" (2018), Cryptography
- A. Moubayed, "Software-defined perimeter(SDP) : State of the art secure solution for modern networks", IEEE Network, 33(5), pp.226~233 (2019)
- Z, Chen, "Autoencoder-based network anomaly detection", 2018 Wireless telecommunications symposium (WTS), pp.1~5 (2018)
- "Zero Trust Maturity Model" (2023)[URL]
- S. Mehraj, "Establishing a zero trust strategy in cloud computing environment", 2020 International Conference on Computer Communication and Informatics (ICCCI) (2020), IEEE
- C. A. Zachary, "The zero trust supply chain : Managing supply chain risk in the absence of trust", International Journal of Production Research, 1(16), pp.1~15 (2021)
- S, Mayra, "Zero-trust hierarchical management in IoT", 2018 IEEE international congress on Internet of Things (2018), IEEE
- A. Deshpande, "Relevance of zero trust network architecture amidts and it's rapid adoption amidts work from home enforced by COVID-19", Psychology and Education Journal, 58(1) (2021)
- M. J. Hwang, "Microsoft zero trust network strategy and implementation plan", Microsoft Cyber Security Solutions Group, ~ (2020)
- Z. Chen, "Exploring the potential of large language models in learning on graphs", ACM SIGKDD Explorations Newsletter, 25(2), pp.42~61 (2024)
- M. R. Chavez, "Chat generative pre-trained transformer : Why we should embrace this technology", American Journal of Obstetrics and Gynecology, 228(6), pp.706~711 (2023)
- M. A. Han, "The effect of domain specificity on the performance of domain-specific pre-trained language models", Journal of Intelligence and Information Systems, 28(4), pp.251~273 (2022)