[딜사이트 원재연 기자] 한국인터넷진흥원(KISA)이 가상자산 사업자(VASP)를 대상으로 한 정보보호관리체계(ISMS)의 구축과 운영 방안을 공개했다. 인증 심사시 주안점으로는 핫월렛과 콜드월렛에 대한 보안과 관리 체계가 꼽혔다. 

18일 과학기술정보통신부와 KISA는 가상자산사업자를 대상으로 ISMS 인증제도 설명회를 열고 가상자산사업자에 특화된 점검항목에 대한 설명과 권고사항을 밝혔다. 앞서 과기부는 이달 가상자산 사업자에 특화된 ISMS 인증 심사체계를 새로 구축하고 이와 관련된 56개 항목을 기존 점검항목에 추가했다. 

이태원 KISA 보안수준인증팀 책임은 "가상자산 사업자들은 영세한 곳들이 많고, 일반 기준보다 허들이 높지만, 사업자들이 부담을 느끼지 않을 정도로 추가 작업을 했다"며 "특금법에 따라 사업자들이 ISMS를 받아야 하기 때문에 금융에 준하는 부분을 추가했고, 가상자산 서비스에 도저히 적용하기 힘들거나 구멍이 생기는 부분들을 일부 추가했다"고 설명했다.

가상자산 사업자가 ISMS를 받기 위해 추가된 세부점검항목은 ▲관리분야 11개 항목 ▲물리분야 5개 ▲기술 분야 24개 ▲금융 분야 16개 항목으로, 총 56개의 세부항목이 개발되어 사업자를 대상으로 점검이 시행된다.

관리분야에서는 거래소의 보안에 대한 대책과 개인정보에 대한 지침등의 정책 수립여부등이 점검된다. 위험요소에 대한 대처와 관리 부분도 준비 사항이다. 노드가 공인IP를 사용하거나 DMZ에 위치하는등 운영상 제약이 존재하고 이에 대한 위험이 식별되는지 여부가 점검된다.

이 책임은 "가상자산의 글로벌한 특성상 특정 가상자산에 대한 사고가 발생한 경우 이에 대한 위험이 사전에 공유된다"며 "이와 관련해 관계자들에게 이해, 교육을 진행하고 있는지 여부, 정책에 반영되는지 여부 등을 점검한다"고 전했다.

물리분야에서 가장 중요한 점검 사항은 월렛(지갑)의 보관 분야다. 네트워크와 분리돼 가상자산을 보관하는 콜드월렛의 경우 이를 위한 공간이 별도로 분리돼 있는지, CCTV 등을 통해 이를 관리하고 있는지 여부가 중요하다. 월렛룸의 출입에 대한 관리시스템, 출입가능 인원 또한 제한해야 한다.

기술적인 부분은 다른 항목에 가장 많은 항목이 추가됐다. 기술분야 역시 월렛 서버와 키관리 시스템 등에 관한 관리 여부와 보안 정도가 핵심으로 꼽혔다. 콜드월렛에 대한 기술적인 부분은 이를 위한 별도 네트워크 존을 구성하고 있는지, 망분리 등의 대책이 마련됐는지 여부를 점검한다. 

이 책임은 "위험도는 온라인과 연결된 핫월렛이 더 크지만, 콜드월렛이 없어지는 금액이 더 크다"며 "멀티시그 적용을 권고하고 있으며, 적용하지 않았다면 이에 상응하는 보호조치를 해야 한다"고 설명했다. 

금융분야 점검 항목으로는 거래기록의 보존과 접속기록 모니터링 등이 꼽혔다. 또한 월렛 접근에 대한 실시간 알람 시스템 구축 등 이상행위 등에 대한 분석과 모니터링 여부도 강조됐다. 

그는 "핫월렛에 접근하는 인원은 최소화되어야 하고, 접근했을 때는 CTO, CISO등에 실시간 알림이 가도록 하는 것이 가장 좋은 방법"이라며 "비용이 높고 시스템적 부담이 있기 때문에 의무사항은 아니지만 가장 권고한다"고 전했다.

이 책임은 "월렛 보관이 가장 주안점"이라며 "가상자산 분야에서는 CEO가 월렛의 키를 갖고 있었는데 사망하거나 납치되는 경우가 많아서 이런 부분들을 추가하게 됐고, 사업자들도 시나리오 베이스로 어떤 상황이 발생할지에 대한 위험평가를 꼭 해야 한다"고 당부했다.