디지털운영복원력법(DORA)은 2025년 1월 17일부로 모든 EU 회원국에서 직접 적용되기 시작했습니다. 이제 금융기관은 의무적인 취약점 평가와 위협 기반 침투 테스트를 포함한 포괄적인 ICT 위험 관리를 이행해야 합니다. KENSAI가 컴플라이언스를 지원합니다.
DORA 평가 시작 → 데모 예약DORA는 EU 내에서 활동하는 광범위한 금융기관에 적용됩니다 — 기존 규정보다 훨씬 넓은 범위입니다:
| 기관 유형 | 적용 대상 여부 |
|---|---|
| 신용기관(은행) | 예 |
| 지급기관 | 예 |
| 전자화폐기관 | 예 |
| 투자회사 | 예 |
| 가상자산서비스제공자(CASP) | 예 — 신규 포함 대상 |
| 보험사/재보험사 | 예 |
| 연금기금 운용사 | 예 |
| ICT 제3자 서비스 제공업체(중요) | 예 — "중요 ICT 제3자 서비스 제공업체"로서 |
| 소기업(직원 수 <10명, 매출 <€200만) | 간소화된 요구사항 |
DORA 제4장(제24조~제27조)은 2단계 보안 테스트 프레임워크를 규정합니다:
모든 금융기관은 포괄적인 디지털 운영 복원력 테스트 프로그램을 이행해야 합니다. 여기에는 취약점 평가, 오픈소스 분석, 네트워크 보안 평가, 격차 분석, 물리적 보안 검토, 시나리오 기반 테스트가 포함되며 — 최소 연 1회 실시해야 합니다.
중요 금융기관은 최소 3년마다 TLPT를 실시해야 합니다. TLPT는 TIBER-EU 프레임워크를 따릅니다 — 실제 운영 시스템을 대상으로 현실적인 위협 행위자의 TTP(전술·기법·절차)를 시뮬레이션하는 인텔리전스 기반 침투 테스트입니다. 승인된 외부 테스터가 수행해야 합니다.
금융기관은 ICT가 지원하는 모든 업무 기능과 그 의존 관계를 식별, 분류, 문서화해야 합니다. 취약점 스캐닝은 지속적인 ICT 위험 식별을 위한 주요 기술적 수단입니다.
ICT 시스템의 지속적 모니터링, 이상 활동 탐지, 취약점 관리·패치 관리·구성 강화를 포괄하는 정책 수립이 요구됩니다.
관할 당국(ECB, EBA, 각국 규제 당국)은 금융기관에 다음을 요구할 수 있습니다: 요청 시 ICT 위험 평가 제출, ICT 인프라 현장 점검 수용, 독립적인 보안 검토 의뢰. 미준수 시 컴플라이언스가 달성될 때까지 매일 일일 평균 전 세계 매출액의 최대 1%에 달하는 벌금이 부과될 수 있습니다.
TIBER-EU(위협 인텔리전스 기반 윤리적 레드팀)는 고급 보안 테스트를 위한 ECB의 프레임워크입니다. DORA의 TLPT 요구사항은 TIBER-EU를 상당 부분 모델로 삼고 있습니다. 주요 특징은 다음과 같습니다:
제24조에 따라 연간 기본 테스트 프로그램은 다음을 포괄해야 합니다:
제24조에서 요구하는 연간 취약점 평가, 네트워크 보안 평가, 오픈소스 구성 요소 분석을 자동화합니다.
핵심 업무 기능을 지원하는 모든 ICT 자산을 탐지하고 매핑합니다 — DORA의 ICT 위험 식별 요구사항의 기반입니다.
TLPT 사전 취약점 평가로 레드팀 참여 이전에 알려진 취약점을 식별합니다 — 테스트 가치를 극대화하고 실사(due diligence)를 입증합니다.
DORA 제5장(공급망 위험 관리)에 따라 중요 ICT 제3자 제공업체의 외부 공격 표면을 평가합니다.
지속적인 취약점 탐지는 ICT 시스템의 지속적 모니터링과 이상 탐지를 요구하는 제9조 요건을 충족합니다.
감독 검토 및 현장 점검 시 관할 당국에 제출할 수 있는 DORA 정합 취약점 보고서를 생성합니다.
💡 DORA와 다른 규정의 관계: DORA는 GDPR, NIS2, EMIR과 '특별법 우선(lex specialis)' 관계에 있습니다. DORA가 더 구체적인 ICT 위험 요구사항을 규정하는 경우, 금융기관에 대해서는 해당 요구사항이 우선 적용됩니다. 다만 GDPR의 개인정보 관련 의무는 독립적으로 계속 적용됩니다. 귀사의 보안 테스트 프로그램은 두 규정을 모두 충족해야 합니다.
| 주요 일정 | 날짜 |
|---|---|
| DORA 발효 | 2023년 1월 16일 |
| DORA 직접 적용 개시 | 2025년 1월 17일 |
| 첫 연간 기본 테스트 기한 | 2026년 1월 17일 |
| 첫 TLPT 사이클 개시(중요 기관) | 컴플라이언스 기준일로부터 3년 이내 |
| 중요 ICT 제공업체 감독 프레임워크 | 2025년(ESA 지정) |
KENSAI는 DORA 제24조에서 요구하는 취약점 평가와 네트워크 보안 테스트를 자동화하는 동시에, 감독 검토에 활용할 수 있는 규제 대응 문서를 생성합니다. EU 규제 감독 하에서 운영되는 금융기관을 위해 설계되었습니다.
DORA 평가 시작 → 금융 서비스 전문가와 상담하기