AML 시스템의 제로 트러스트 적용에 관한 연구 = A Study on the Application of Zero Trust to Anti-Money Laundering Systems

다국어 초록 (Multilingual Abstract)

A Study on the Application of Zero Trust Architecture to Anti-Money Laundering Systems
Anti-Money Laundering （AML） systems serve as critical compliance infrastructure for financial institutions to detect and prevent illegal fund laundering. However, AML systems are constantly exposed to sophisticated cyber threats, including insider threats, unauthorized access, and data breaches, due to the nature of processing vast amounts of customer financial data and suspicious transaction information. Traditional perimeter-based security models have shown limitations in responding to environmental changes such as cloud migration, the spread of remote work, and the introduction of microservice architecture.
Although most public institutions and enterprises have established and utilized the traditional ＂Zone-based＂ security model for their information systems, various forms of security incidents continue to occur and are, in fact, on the rise. One major cause is the increase in malicious attackers, driven by the overall advancement of hacking techniques due to the emergence of AI, as well as the ease of information access that allows anyone to easily encounter cyberattack methods and knowledge. Ultimately, this demonstrates that the existing security model has reached its limits in strengthening cybersecurity.
In response, federal agencies in the United States are faithfully implementing Zero Trust deployment and requirements driven by the Office of Management and Budget （OMB） under the Presidential Policy Directive. Meanwhile, the South Korean government released the Zero Trust Guideline 1.0 in 2023, followed by the Zero Trust Guideline 2.0 in November 2024, and is actively working to secure deployment cases through pilot projects.
As the Zero Trust security model is set to establish itself across critical industries, the time to seek application methods for AML systems is fast approaching. Therefore, this study explores approaches to applying the Zero Trust security model to AML systems and proposes a realizable security architecture for them. In addition, to align the detailed security control items of the Zero Trust Guideline with the core elements of Zero Trust, this study reclassified the detailed criteria and verified the feasibility of these reclassified criteria by function using the Delphi method.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 배경 및 목적 1
• 제2절 연구의 범위 및 방법 3
• 제2장 자금세탁방지（AML）와 제로 트러스트 4
• 제1절 자금세탁방지（AML） 제도 4
• 1. 개념 4
• 2. 국내 AML 법제도 체계 4
• 3. AML 시스템의 구현 방식 5
• 제2절 제로트러스트 아키텍처（ZTA） 9
• 1. 개념과 등장 배경 9
• 2. 보안 모델 10
• 3. 7대 핵심 원칙 12
• 제3절 금융권 제로트러스트 도입 사례 15
• 1. 해외 사례 16
• 2. 국내 사례 19
• 제3장 AML 시스템의 제로 트러스트 적용의 한계 21
• 제1절 보호 대상의 한계 21
• 1. 데이터 관리 및 레거시 시스템과의 호환성 문제 21
• 2. 인프라의 기술적 복잡성 문제 22
• 3. 접근주체 및 리소스 문제 23
• 제2절 시스템 단위 및 구성요소별 위협 24
• 1. 금융 산업 특화된 요구 사항 미반영 24
• 2. 조직 및 문화적 저항 24
• 3. 시스템 단위 및 핵심 요소별 보안 위협 25
• 제3절 국내 금융규제와의 정합성 문제 29
• 1. 국내 금융 관련 법령 29
• 2. 기타 금융 관련 규제 30
• 제4장 AML 시스템의 제로 트러스트 적용 방안 31
• 제1절 보호 대상（Protect Surface） 31
• 1. 데이터 및 응용 자산 31
• 2. 인프라 자산 31
• 3. 접근주체 31
• 제2절 시스템 단위 및 핵심요소 33
• 1. 식별자신원 관리 33
• 2. 기기 및 엔드포인트 보안 34
• 3. 네트워크 마이크로 세그멘테이션 34
• 4. 데이터 보호 및 전 생애 주기 관리 35
• 5. 지속적 검증 및 실시간 위협 대응 36
• 6. 자동화 및 오케스트레이션 37
• 제3절 국내 금융규제와의 정합성 39
• 1. 국내 금융 관련 법령 39
• 2. 기타 금융 관련 규제 40
• 제4절 적용 방안의 검증 41
• 1. 전문가 검증 및 설계 : 델파이 조사 및 Fleiss Kappa 분석 41
• 2. 평가 항목 및 척도 설계 43
• 3. Fleiss Kappa 계수의 이론적 배경 및 계산 방법론 46
• 4. 해석 기준: Landis ＆ Koch（1977） 척도 47
• 5. 1차 델파이 조사 결과 및 Fleiss Kappa 분석 47
• 6. 1차 조사 종합 평가 50
• 7. 2차 델파이 조사 : 합의 미달 항목 수정 및 재검증 52
• 8. 2차 조사 결과 및 Fleiss Kappa 분석 54
• 9. 2차 조사 종합 평가 56
• 10. 제로 트러스트 아키텍처（ZTA） 통제 우선순위 도출 57
• 11. 검증 연구의 방법론적 한계 58
• 제5장 결론 59
• 참 고 문 헌 61
• ABSTRACT 67