금융 분산원장기술 보안규범

금융분산원장기술보안규범(JR/T 0184-2020, 金融分布式账本技术安全规范)은 중국 인민은행이 2020년 2월 5일 정식으로 발표 및 실시한 첫 블록체인 금융 보안표준이다. 표준은 기본 하드웨어, 기본 소프트웨어, 암호 알고리즘, 노드통신, 원장 데이터, 콘센서스 합의, 스마트계약, 신원 관리, 프라이버시 보호, 관리감독, 유지보수 요구 등 방면에서 금융 분산원장 기술의 안전 체계를 규정하고 있다. 표준은 금융 분야에서 분산원장 시스템의 구축 또는 서비스 운영에 종사하는 기관에 적용된다.

개요

금융분산원장기술보안규범, 2020년 2월5일 발표 및 실시. 중국인민은행 발표

《금융분산원장기술보안규범》(이하 표준이라고 함)은 중국 금융표준화기술위원회가 관리하며 중국 인민은행 디지털통화연구소가 제안해 초안 작성을 담당하며, 중국 인민은행과학기술회사, 중국공상은행, 중국농업은행, 중국건설은행, 국가개발은행 등이 공동으로 참여한다. 규범은 폭넓은 의견수렴과 논증을 거쳐 중국 금융표준화기술위원회 심사를 통과했다. 또 바이두, 알리바바, 텐센트, 징둥닷컴 등 중국 주요 인터넷 기업도 참여했다.

표준에 따르면 분산식 원장 기술은 암호화 알고리즘, 컨센서스 메커니즘, PPP(Point-to-Point Protocol), 분산식 저장 등 여러 핵심 기술 체계의 결합으로 만들어진 분산식 인프라 구조와 컴퓨팅 모델이다.

금융기관 및 업체가 구축과 유지보수 과정에서 준수해야 할 보안 요구를 지켜 분산식 원장 기술을 대규모로 응용하면서도 정보 보안 역량을 갖출 수 있도록 하는 데 초점을 맞췄다. 이로써 블록체인 애플리케이션 양성화에 촉진 작용을 하는 것이다.

주요인물

• 무창춘(穆长春) : 중국인민은행 디지털화폐연구소 소장
• 리웨이（李伟） : 인민은행 과학기술사 사장
• 디깡(狄刚) : 인민은행 디지털화폐연구소 부소장
• 야오치앤(姚前) : 인민은행디지털화폐연구소 전임 소장
• 리삔(李斌) : 위뱅크 핀테크 수석연구원

주요내용

표준은 규제에 관한 요구사항을 명확히 하였으며 금융 분산원장의 구조 탈중앙화, 데이터 멀티 사본, P2P 거래，기록 변조불가 특징을 가지고 있어 중앙화 시스템과 큰차이가 있으며 시스템 설계를 최적화하고 시스템 안전을 보장하며 감독 효율을 높이고 합규적으로 원가를 낮출 수 있도록 법적인 규제 뿐만아니라 기술규제 규칙도 필요하다고 밝혔다.

시스템 감사에 있어서는 감사기관 접속을 지원하여 정보감사와 투명공개 요구를 충족시켜야 한다. 감독부서의 감독관리규칙의 설정, 거래기록의 추출, 필요에 따라 특정 업무데이터의 조회, 분석 등 감독활동을 지원해야 한다. 또한 감독기관이 저변 데이터를 방문하여 관통식 감독을 실시할 수 있도록 지원해야 한다.

정보 관리 측면에서는 익명 표시에 있는 사용자의 정체(사실 신원) 및 관련 거래 정보를 환원하도록 지원하여 거래 심사에 보조를 맞추어 KYC 관리를 강화해야 한다. 거래관여에 있어서는 거래전선(交易全线）제한, 계좌 동결 등의 기능을 갖추어 감독기관에 거래관여를 위한 기술적 수단을 제공해야 한다.

원장 데이터의 경우 표준은 장부의 완전성, 일치성, 기밀성 등에 대해 요구를 제출했다. 원장 데이터의 생성, 전송, 저장, 사용과 같은 조작이 비권한 방식으로 변경되거나 파괴되어서는 안 된다는 것을 보장해야 한다. 원장 데이터의 기입과 수정에 대해서는 각 노드를 거쳐 공통적으로 합의하여 달성해야 한다. 데이터가 분할된 경우 가용규칙으로 데이터 선택이 가능해야 한다. 암호 기술로 원장 데이터 중의 민감 데이터 전송과 저장 과정에서의 기밀성을 보장해야 한다.

스마트계약의 감독관리에 있어서는 감독요구 코드를 필요에 따라 스마트계약에 기입하여 강제 집행할 수 있어야 하며, 필요에 따라 감독기관에 거래행위 통계 데이터를 제공하여 스마트계약이 제공하는 서비스의 정합성을 평가할 수 있어야 한다.

표준의 혁신은 금융 분산원장 시스템 구축에 관심을 기울여야 할 하드웨어와 소프트웨어의 안전 요구는 물론, 감독, 유지보수 및 지배구조까지 상세히 규정하고 있다. 예를 들어, 관리위원회, 안전 관리 기구, 일상 관리팀과 응급 관리팀의 3층 관리 조직 아키텍처가 제시되었는데, 이는 블록체인 관련 표준에서 가장 먼저 구현되었으며 블록체인과 분산원장 시스템과 그 응용에 대한 전반적인 보안 제어에 도움이 된다.

표준은 프라이버시 보호에 관해서도 포괄적인 요구가 있다. 정보 수집은 최소화 원칙에 따라야 하며, 개인 정보 수집은 정보 수집 목적과 관련하여 필요한 모든 데이터에 한정되어야 하며, 프라이버시 정보를 민감한 정도에 따라 등급을 설정하며 이에 대응하는 프라이버시 보호 전략을 설정해야 한다.

업계반응

표준이 발표된 후 일부 업계 관계자들은 블록체인과 분산원장은 비슷해 보이는 것이 많지만 서로 다른 것 아니냐는 의혹을 제기했다. 표준 전문을 통독해도 블록체인은 보이지 않는다. 그렇다면 이 기준을 금융업계 최초 블록체인 표준이라고 부르는 이유는 무엇일까. 위뱅크 핀테크 수석연구원 리삔(李斌)은 "ISO 용어 표준 22739에 나온 표현대로 블록체인은 암호기술을을 사용한 컨센서스 확인 블록을 순서에 따라 추가로 형성하는 분산원장으로 즉 블록체인이 분산원장의 자집(子集)인 셈이다. 하지만 지금은 양자는 기본적으로 같은 것을 말하는 것으로 금융 컨소시엄의 기준으로 이해할 수 있다."고 밝혔다.

징둥닷컴 관계자는 "인민은행이 이 규범을 발표한 것은 블록체인 산업 전반에 이정표같은 의미"라며 "중국 내 블록체인 기술과 애플리케이션 규범뿐 아니라 해외 표준에 대한 영향력 클 것"이라고 내다봤다.

참고자료

• 금융분산원장기술보안규범 전문 - https://www.chainnode.com/doc/4024
• 〈央行发布首个金融分布式账本(区块链)标准〉, 《融汇岛》, 2020-02-26
• 区块链网络, 〈金融业首个区块链技术标准—《金融分布式账本技术安全规范》发布〉, 《玩币族》, 2020-03-03
• 邱祥宇, 〈央行牵头，国内金融行业首个区块链标准发布〉, 《巴比特》, 2020-02-23
• 유효정 기자, 〈中 첫 블록체인 금융 보안 표준 출범...국제 영향 기대〉, 《지디넷코리아》, 2020-03-09

같이 보기

• 인민은행
• 스마트계약
• 분산원장

이 금융 분산원장기술 보안규범 문서는 보안에 관한 글로서 검토가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 검토·수정해 주세요.

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인 보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성 취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커 개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명 양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴 보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD) 위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반