디지털 운영 탄력성법(DORA) 해설

디지털 운영 분야에 종사하고 있다면 디지털 운영 탄력성법(DORA)에 대해 알아두어야 합니다. 이 법안은 금융 기관과 핵심 서비스 제공업체가 사이버 공격이나 시스템 장애에 대비할 수 있도록 지원합니다. 이것이 비즈니스에 어떤 영향을 미칠까요? DORA는 디지털 환경이 직면한 다양한 문제 속에서도 운영이 안정적이고 원활하게 유지되도록 보장합니다.

본 문서에서는 DORA의 목표와 규정 준수 요건부터 EU 및 비EU 기업에 미치는 영향에 이르기까지 DORA의 핵심 사항을 설명합니다. EU 내에서 사업을 운영하든 EU 기반 고객과 협력하든 관계없이 점점 더 디지털화되는 세상에서 복원력을 유지하려면 DORA를 이해하는 것이 필수적입니다. 또한 서버 사이드 트래킹이 DORA의 영향을 어떻게 받는지, 그리고 Stape이 이 새로운 규정에 어떻게 대응하고 있는지도 함께 다룹니다.

Stape은 DORA 요건을 완벽하게 준수하여 최고 수준의 데이터 보호와 서비스 안정성을 보장합니다.

DORA 규정은 유럽 금융 기관의 IT 보안 및 운영 복원력을 강화하기 위해 마련된 획기적인 EU 법안입니다. 2023년 1월 16일에 발효되었으며, 2025년 1월 17일부터 DORA 준수가 의무화됩니다. DORA는 금융 부문의 디지털 리스크를 관리하는 효과적인 도구로 인정받고 있습니다.

NIS2와 DORA는 사이버 보안 및 디지털 복원력을 위한 두 가지 핵심 프레임워크입니다. 첫 번째인 NIS2는 EU 내 필수 서비스의 보안 조치를 촉진하는 데 중점을 둡니다. 두 번째인 디지털 운영 탄력성법은 금융 기관의 운영 지속성을 강화하는 것을 목표로 합니다. 이 두 규정은 새로운 사이버 위협으로부터 유럽의 디지털 인프라를 보호하는 데 중요한 역할을 합니다.

2023년 9월, 유럽연합 집행위원회는 NIS2 지침을 통해 이 두 프레임워크 간의 관계를 다음과 같이 명확히 했습니다.

• NIS2 지침은 에너지, 운송, 상수도, 의료, 디지털 인프라 등 중요 부문을 대상으로 합니다. 더 엄격한 사이버 보안 요건을 도입하고 사고 대응 역량을 개선하여 이러한 필수 서비스를 보호하고자 합니다.
• 반면 DORA는 은행, 보험사, 투자 회사 등의 기관을 포괄하는 금융 부문을 위해 설계되었습니다. 정보통신기술(ICT) 관련 리스크 관리를 위한 포괄적인 요건을 수립하여, 금융 기관이 ICT 관련 장애에 견디고 대응하며 신속히 복구할 수 있도록 보장합니다.

따라서 EU 내 금융 기관과 ICT 서비스 제공업체는 2025년 1월 17일까지 DORA 요건을 준수해야 합니다. 각 EU 회원국은 규정 준수를 보장할 책임이 있으며, 지정된 규제 당국은 구체적인 보안 조치를 의무화하고 기지의 취약점을 해결하도록 요구할 권한을 가집니다.

규정을 준수하지 않을 경우 심각한 처벌을 받을 수 있습니다. 유럽연합 집행위원회가 지정한 "중대(critical)" ICT 제공업체의 경우, 규정 위반 시 직전 회계연도 기준 일평균 전 세계 매출액의 최대 1%에 달하는 벌금이 부과될 수 있습니다.

전 세계적으로는 물론 유럽 내에서도 금융 부문은 전 세계적인 사이버 위협 증가의 일환으로 급증하는 사이버 공격에 직면해 있습니다.

유럽은 이에 대처하기 위해 디지털 운영 탄력성법을 도입했습니다. 그 목표는 사이버 복원력을 위한 단일 시스템을 구축하고 EU 전역의 금융 안정을 보장하는 것입니다. DORA는 조직이 ICT 시스템에 대한 사이버 위협의 영향을 완화할 수 있도록 지원하는 능동적인 실무 관행을 장려합니다.

DORA는 유럽 전역의 규정을 일원화하는 데 중점을 둡니다. 과거에는 개별 국가마다 서로 다른 규칙과 감독 방식을 적용했습니다. DORA는 이러한 일관성 부족을 해소함으로써 보다 긴밀한 입법 및 경제적 조화를 이루려는 유럽의 목표를 뒷받침하는 통일된 접근 방식을 도입합니다.

금융 기관 및 기타 관련 주체에게 DORA는 사이버 보안 및 복원력에 관한 법적 의무를 보다 명확히 해주는 추가적인 이점을 제공합니다. 이러한 명확성은 국경을 넘어 확장되어 일관된 지침을 제공하고 사이버 위협에 대한 불확실성을 줄여줍니다.

DORA 준수를 더 잘 이해하기 위해 DORA의 목표를 자세히 살펴보겠습니다.

DORA에는 두 가지 주요 목표가 있습니다.

1. 1.
   리스크 평가, 사고 보고, 복원력 테스트 표준을 포함하여 금융 부문을 위한 포괄적인 ICT 리스크 관리 관행을 확립합니다.
2. 2.
   EU 회원국 전반의 ICT 리스크 관리 규정을 조화시키고, 공정한 경쟁 환경을 조성하며, 여러 EU 국가에서 운영되는 금융 기관의 규정 준수 부담을 줄입니다.

DORA 이전에는 파편화된 개별 국가의 규정으로 인해 국경을 넘어 운영되는 금융 기관이 규정을 준수하기 어려웠습니다. DORA는 통일된 규제 표준을 도입하여 혼란을 최소화하고 EU 금융 부문 전반의 보안을 강화함으로써 이 문제를 해결합니다.

DORA 법안은 EU 내에서 활동하는 22,000개 이상의 금융 기관 및 ICT 서비스와 이를 지원하는 EU 외부의 ICT 인프라에 적용됩니다. 다음과 같은 다양한 금융 시스템에 영향을 미칩니다.

• 은행
• 보험사
• 투자 회사
• 결제 처리업체
• 증권 거래소
• 시장 인프라 기관
• 신용평가사
• 가상자산 서비스 제공업체

또한 DORA는 이러한 기관을 지원하는 핵심 ICT 서비스 제공업체로 적용 범위가 확장됩니다. 조직은 서드파티 ICT 제공업체에 대한 의존도를 파악하고, 단일 공급업체나 소수 공급업체 그룹에 대한 과도한 의존을 방지하기 위해 공급망을 다변화해야 합니다.

DORA의 주요 요건은 다음과 같습니다.

제6조에 따라 DORA는 기관의 전반적인 리스크 관리 시스템에 통합되는 견고하고 포괄적이며 체계적으로 문서화된 ICT 리스크 관리 프레임워크를 구축하도록 의무화하고 있습니다. 주요 요소는 다음과 같습니다.

• 리스크 식별 및 평가: 서드파티 의존성에서 발생하는 리스크를 포함하여 ICT 리스크를 정기적으로 평가하고 문서화합니다.
• 보호 및 예방 조치: 피싱 위험을 완화하기 위한 패스워드리스 접속 솔루션 등 시스템과 데이터를 보호하기 위한 전략, 정책 및 도구를 구현해야 합니다.
• 탐지 메커니즘: 기술을 활용하여 이상 징후와 잠재적인 보안 사고를 신속하게 식별합니다.
• 대응 및 복구 계획: 비즈니스 연속성 및 위기 관리 계획을 수립합니다.
• 교육 및 개선: 과거 사고와 테스트 결과를 바탕으로 시스템을 지속적으로 개선합니다.

또한 DORA는 ICT 리스크 관리 감독을 담당할 책임자를 지정하여 명확한 책임 소재와 효과적인 거버넌스를 보장하도록 요구합니다.

사고 관리 및 보고는 DORA의 핵심적인 부분입니다. 기관은 ICT 관련 사고를 추적하고 분류하는 시스템을 구축해야 합니다. 제19조에 따라 조직은 다음을 제출해야 합니다.

• 중대한 사고를 식별한 후 정해진 기한 내에 제출하는 초기 보고서.
• 사고 현황에 중대한 변화가 발생했을 때 제출하는 중간 보고서.
• 근본 원인 분석을 완료하고 사고의 영향을 평가한 후 제출하는 최종 보고서.

또한 제18조~제20조에 따라 조직은 다음 사항을 준수해야 합니다.

• 사전 정의된 영향 수준에 따라 ICT 사고를 분류합니다.
• 규제 당국에 사고를 보고할 때 표준화된 템플릿을 사용합니다.
• 심각한 사고 및 영향 완화 조치에 대해 최종 사용자와 고객에게 즉시 통지합니다.
• 보고서는 당일 근무 시간 종료 전까지 제출해야 하며, 업무 종료 직전에 사고가 발생한 경우에는 다음 영업일 시작 후 4시간 이내에 제출되도록 해야 합니다.

제25조에 따라 DORA는 ICT 리스크 관리 시스템의 유효성을 보장하기 위해 정기적인 테스트를 의무화하고 있습니다. 테스트 절차는 다음과 같습니다.

• 취약점 평가: 시스템 및 애플리케이션의 취약점을 식별하기 위한 정기 스캔.
• 네트워크 및 인프라 보안 평가: 네트워크 방어 체계 테스트.
• 애플리케이션 보안 테스트: 핵심 비즈니스 기능에 사용되는 소프트웨어 평가.
• 시나리오 기반 테스트: 대응 역량을 평가하기 위해 다양한 사이버 위협 시나리오 시뮬레이션.
• 위협 기반 침투 테스트: 중요 금융 기관을 대상으로 최소 3년에 한 번씩 수행하는 고급 테스트.

또한 제26조에 따라 조직은 아웃소싱 서비스를 포함하여 중요 기능을 지원하는 ICT 프로세스에 대해 침투 테스트를 수행해야 합니다.

ICT 서비스 제공업체의 중요성을 인식하여 DORA는 다음과 같은 엄격한 서드파티 리스크 관리 요건을 도입했습니다.

• 실사(Due diligence): 계약 체결 전 ICT 제공업체 평가.
• 계약상의 보증: 계약서에 보안, 사고 보고, 감사 권한에 관한 조항 포함.
• 지속적인 모니터링: 서드파티의 성과 및 보안 조치에 대한 정기적인 평가.
• 출구 전략: 필요 시 한 제공업체에서 다른 제공업체로 이전하기 위한 계획 수립.

또한 DORA는 핵심 서드파티 ICT 제공업체에 대한 감독 체계를 구축하여 EU 감독 기관이 규정 준수 여부를 직접 모니터링할 수 있도록 합니다.

5. 정보 공유

DORA는 다음을 위해 신뢰할 수 있는 금융 기관 간의 협력을 장려합니다.

• ICT 관련 리스크에 대한 인식을 제고합니다.
• ICT 위협 벡터의 확산을 최소화합니다.
• 방어 전략, 완화 기법 및 위협 인텔리전스를 공유합니다.

DORA 규정 준수 준비

DORA 규정 준수를 달성하는 과정이 복잡해 보일 수 있지만 명확한 접근 방식을 취하면 충분히 관리할 수 있습니다. 사이버 보안 실무와 리스크 관리 계획을 검토하여 개선이 필요한 부분을 파악하십시오. 견고하고 철저히 대비된 팀을 구축하려면 리더를 포함한 전 직원을 대상으로 정기적인 교육을 실시하는 것이 필수적입니다.

ICT 서비스 제공업체와의 계약을 검토하여 DORA 표준을 충족하는지 확인하십시오. 클라우드 서비스 및 소프트웨어 공급업체를 포함한 모든 계약의 종합 인벤토리를 작성하여 의존성을 파악하고 리스크를 완화하십시오. 이러한 전략적 조치를 취함으로써 조직은 운영 복원력을 강화하고 DORA 요건에 부합하도록 준비할 수 있습니다.

이러한 조치를 준수함으로써 조직은 ICT 리스크 관리 및 운영 복원력에 대한 DORA의 높은 기준을 충족할 수 있습니다.

DORA 규정은 유럽의 통일된 복원력 표준을 도입하므로 영국 기업 또한 이를 인지하고 있어야 합니다.

영국 규제 대상 기업은 운영 리스크를 책임감 있고 효과적으로 관리해야 하며, 견고한 리스크 관리 시스템을 통해 업무를 체계화해야 합니다. 영국 금융행위감독청(FCA) 규정에는 이러한 의무가 명시되어 있으며, 경영 및 거버넌스, 리스크 관리, 내부 통제, 비즈니스 연속성, 비상 계획 및 아웃소싱 관행에 대한 조항이 포함됩니다.

이러한 기존 요건은 이제 운영 복원력을 목표로 하는 새로운 규정으로 확대되고 있습니다. DORA 사이버 보안 프레임워크는 이러한 조치를 더욱 강화하여 기업이 ICT 위험을 종합적으로 다루고 디지털 위협으로부터 보호할 수 있도록 지원합니다. 업데이트된 제도는 특정 유형의 기업에 대한 요건을 도입하며, FCA의 규제를 받지 않는 서비스 제공업체까지 포함하도록 확대를 제안합니다.

영국 운영 복원력 체계

영국의 운영 복원력 체계는 EU의 DORA보다 운영 위험에 대해 더 광범위한 접근 방식을 취합니다. 디지털이나 ICT 사고로 인한 장애뿐만 아니라 모든 종류의 장애를 견뎌내는 기업의 역량을 강조합니다.

이 프레임워크는 은행, 보험사 및 주요 투자 회사에 적용됩니다. 특정 기준을 충족하는 경우 자산 운용사도 포함될 수 있습니다.

DORA와 달리 영국의 프레임워크는 더 넓은 범위의 위험을 고려하며 복원력에 대해 보다 포괄적인 접근 방식을 취합니다.

영국의 프레임워크는 DORA보다 적은 수의 조직을 대상으로 하지만 복원력에 대해서는 더 광범위한 관점을 취합니다. 디지털 위험을 넘어 모든 원인으로 인한 장애에 비즈니스가 대응할 수 있도록 지원하는 데 중점을 둡니다.

DORA 규정 준수란 무엇일까요? 또 하나의 규제일까요, 아니면 비즈니스가 복원력과 사이버 보안을 다루는 방식을 재고할 기회일까요? 많은 기업에 이는 디지털 환경에서 신뢰와 안정성을 구축하는 통합된 접근 방식으로 분산된 시스템을 대체할 수 있는 새로운 출발점입니다.

DORA 규정 준수는 기업이 선제적인 사고방식을 채택하고, ICT 위험을 해결하며, 제3자 서비스 제공업체를 포함한 전체 공급망 전반에서 복원력을 확보하도록 요구합니다. DORA는 조직이 사이버 위협에 보다 탄력적으로 운영되도록 유도하며, 안전하고 상호 연결된 경제를 향한 유럽의 비전에 발맞추도록 합니다.

DORA 규정 준수의 진정한 가치는 기업의 대응 방식에 달려 있습니다. 이를 단순한 도전 과제로 볼 것인지, 아니면 복원력을 강화하고 경쟁 우위를 확보할 기회로 삼을 것인지는 시간이 말해줄 것입니다.

서버 측 추적은 데이터 보안과 신뢰성을 향상하여 기업이 DORA와 같은 규정을 준수할 수 있도록 지원합니다. Stape는 DORA 표준이 발효될 때 이를 충족할 수 있도록 준비하고 있습니다. 

Stape은 ISO 27001, HIPAA 및 GDPR을 준수하여 데이터를 보호하고 개인정보를 안전하게 보호합니다. 저희는 새로운 규정에 발맞추어 안전하고 신뢰할 수 있는 추적 솔루션을 제공하기 위해 최선을 다하고 있습니다. Stape은 추적 환경을 최대한 활용하면서 데이터를 보호하고자 하는 모든 비즈니스를 위한 안전하고 신뢰할 수 있는 파트너입니다.

DORA 기술 표준이란 무엇인가요?

DORA는 금융 기관 및 핵심 제3자 ICT 서비스 제공업체가 2025년 1월 17일까지 시스템에 통합해야 하는 필수 기술 표준을 규정합니다.

DORA는 네 가지 주요 영역에 걸쳐 기술 요구 사항을 정의합니다:

• ICT 위험 관리 및 거버넌스. 기술 관련 위험을 관리하기 위한 강력한 프레임워크 구축이 필요합니다.
• 사고 대응 및 보고. ICT 사고 처리 및 보고를 위한 효과적인 프로세스 확보가 필요합니다.
• 디지털 운영 복원력 테스트. ICT 시스템의 복원력을 평가하기 위한 정기적인 테스트가 필요합니다.
• 제3자 위험 관리. 외부 기술 제공업체에 대한 감독 강화가 필요합니다.

DORA는 집단적 복원력을 촉진하기 위해 정보 공유를 권장하지만, 이는 자율적으로 유지됩니다.

요건은 비례성에 따라 적용되며, 소규모 기관은 대형 금융 기관에 비해 의무 사항이 적습니다. 구체적인 규제 기술 표준(RTS)과 집행 기술 표준(ITS)은 아직 개발 중이지만, 법안은 이미 명확한 규정 준수 기대치를 제시하고 있습니다.

DORA를 준수하지 않을 경우 처벌이 있나요?

DORA 표준이 확정되고 2025년 1월 기한이 도래하면, "관할 당국"으로 불리는 각 EU 회원국의 지정 규제 기관이 이를 시행합니다. 이러한 당국은 금융 기관이 DORA 규정 준수 요건을 충족하기 위해 취약점을 해결하는 특정 보안 조치를 구현하도록 요구할 권한을 갖습니다. 또한 미준수에 대한 처벌도 결정합니다. 이러한 처벌에는 각국의 재량에 따른 행정 제재 및 경우에 따라 형사 처벌이 포함됩니다.

유럽연합 집행위원회는 ICT 제공업체를 "핵심"으로 분류하며, 감독은 유럽 감독 당국(ESAs)의 수석 감독관이 직접 담당합니다. 관할 당국과 마찬가지로 이러한 수석 감독관은 보안 개선을 명령하고, 시정 조치를 강제하며, 미준수에 대해 제재를 부과할 수 있습니다. 

DORA는 다른 사이버 보안 규정과 어떻게 다른가요?

DORA는 향후 몇 년 내에 발효될 주요 사이버 보안 규정 중 하나입니다. 2024년 10월부터 적용되는 NIS2 지침 역시 유럽 기업 및 조직을 위한 디지털 보안 요건을 규정합니다.

EU DORA 규정 준수는 모든 회원국의 금융 부문 내 운영 복원력 및 사이버 보안 관행을 표준화하도록 설계되었습니다. DORA는 금융 부문에 맞춤화되어 해당 부문의 요구 사항을 충족합니다. 반면 NIS2는 에너지, 의료, 운송 등 모든 핵심 부문을 포괄하여 적용 범위가 더 넓습니다.

DORA의 법적 접근 방식은 NIS2와 다릅니다. DORA는 모든 EU 회원국에 일괄적으로 적용되는 법령(Act)인 반면, NIS2는 지침(Directive)으로서 각 회원국의 국내법으로 전환되어야 합니다.

두 규정 모두 IT 보안 향상에 중점을 두고 있지만, 금융 부문에서는 DORA가 주요 규제 프레임워크로서 우선순위를 갖습니다.

EU 기관과 협력하는 비EU 기업도 DORA의 영향을 받나요?

EU DORA 법안은 EU 외부의 금융 조직, 특히 EU 시장에 서비스를 제공하거나 운영 중인 조직에 상당한 영향을 미칩니다.

이러한 기관은 시장 접근성을 유지하고 EU 소재 고객과의 협력을 지속하기 위해 DORA 기준을 충족해야 합니다. 이는 규정 준수 비용 증가, 운영상의 조정 및 전략적 변화의 가능성을 의미합니다.

또한 DORA는 비EU 조직을 EU 금융 기관의 공급망에 포함하여 전체 생태계에 걸쳐 엄격한 요건을 적용함으로써 이들에게도 영향을 미칩니다.

결과적으로 DORA의 영향력은 EU를 넘어 확장됩니다. DORA는 글로벌 금융 부문을 재편하고 전 세계적으로 운영 복원력의 중요성을 강조합니다.

Stape은 DORA를 완벽히 준수하여 최고 수준의 데이터 보호 및 서비스 신뢰성 표준을 충족합니다. 저희는 DORA의 중요성과 EU 전역의 디지털 서비스 무결성을 보호하는 역할을 잘 이해하고 있습니다. 운영 복원력 및 사용자 데이터 보호에 대한 저희의 노력을 확인할 수 있는 Trust Center에서 규정 준수에 관한 자세한 정보를 확인하실 수 있습니다.

사이버 위협이 더욱 빈번해지고 강력해지는 세상에서 우리는 이에 맞서 강력한 방어막을 구축하기 위해 필요한 조치를 취해야 합니다. DORA와 같은 규정은 기업이 위험에 대비하고 적절히 대처할 수 있도록 지원합니다. DORA의 목표는 시스템을 안전하게 유지하고 고객 데이터를 보호하며 불안정한 시기에도 기능을 정상적으로 유지하는 것입니다. 

• NIS 2 지침
• 디지털 운영 복원력 법안 (DORA) - 규정 (EU) 2022/2554
• 디지털 운영 복원력 법안 (DORA)
• 디지털 운영 복원력 법안 (DORA)
• 디지털 운영 복원력 법안 (DORA)이란 무엇인가요?