서비스

DORA & MiCA 규정 준수

CertiK와 함께 비즈니스를 보호하고 DORA 및 MiCA 대비 태세를 강화하세요. CertiK 전문가가 애플리케이션, 인프라, 스마트 계약, 핵심 지원 시스템 전반에 걸쳐 엔드투엔드 보안 테스트를 제공합니다.

개요

DORA와 MiCA가 중요한 이유

DORA와 MiCA는 EU 디지털 자산 기업에 대한 기준을 높이고 있습니다. 두 규정은 함께 운영 복원력, 사이버 보안, 사고 대비, 규제 책임에 대한 요구 수준을 강화합니다.

  • 디지털 운영 복원력법

    ICT 리스크 관리, 운영 복원력, 사고 보고, 테스트, 제3자 감독에 중점을 둡니다.

  • 암호자산시장법

    암호자산 발행자와 서비스 제공자를 위한 규제 체계를 수립하며, 거버넌스, 보안, 투명성에 대해 높은 수준을 요구합니다.

서비스 범위

준수 의무 대상

아래 범주에 해당하는 EU 내 암호화폐 및 디지털 자산 기업은 등록하고 운영 및 보안 표준을 준수해야 합니다. 이러한 요건은 투명성을 확보하고 디지털 자산을 보호하기 위해 마련되었습니다.

  • 중앙화 거래소

    중앙화 거래소는 사용자가 암호화폐를 거래하는 플랫폼으로, 중개자로서 사용자 자금을 수탁합니다.

  • 거래 플랫폼

    고급 거래 도구, 유동성 집계, 프로토콜 통합을 통해 사용자에게 암호화폐 시장 접근을 제공합니다.

  • 암호화폐 지갑

    자기 수탁형 암호화폐 지갑은 사용자가 자금에 대한 완전한 통제권과 자산에 대한 책임을 유지하면서 암호화폐를 보관, 송금, 수신할 수 있게 해 줍니다.

  • 암호화폐 수탁 기관

    수탁 솔루션은 고급 보안 조치를 활용하여 사용자가 암호화폐 지갑을 안전하게 보관하고 관리할 수 있도록 엔터프라이즈급 서비스를 제공합니다.

  • DeFi 프로토콜

    블록체인 네트워크의 스마트 계약을 통해 대출, 스테이킹, 온체인 거래 같은 탈중앙화 금융 서비스를 제공합니다.

  • 레이어 1 및 레이어 2 체인

    핵심 블록체인 인프라는 노드, 밸리데이터, 합의 메커니즘으로 구성되며, 거래 무결성을 유지하면서 안전하고 신뢰할 수 있는 분산원장을 뒷받침합니다.

  • 토큰 발행자

    토큰 발행은 스테이블코인, 토큰화된 실물 자산 같은 디지털 자산을 생성하며, 이러한 자산은 블록체인에서 디지털 방식으로 소유하고 교환할 수 있습니다.

  • 크로스체인 브리지

    크로스체인 브리지는 서로 다른 블록체인 네트워크 간에 암호화폐를 전송할 수 있게 해 주는 기술입니다.

규정 준수

규정 준수 요건

디지털 자산 기업은 복원력 있고 안전한 서비스를 보장하기 위해 엄격한 운영 및 사이버 보안 표준을 준수해야 합니다. 규정 준수에는 리스크 관리, 사고 처리, 시스템 테스트, 제3자 제공업체 감독에 대한 포괄적인 접근 방식이 필요하며, 이는 운영 및 기술 복원력을 유지하기 위한 명확한 프레임워크가 됩니다.

  • ICT 리스크 관리

    복원력 있는 ICT 및 사이버 보안 리스크 관리 프레임워크를 구축하고 유지합니다.
    • CertiK의 지원 방식
      위험 평가, 위협 모델링, 보안 검토, 수정 지원, CertiK SkyInsights 플랫폼.

  • 사고 보고

    중대한 사고를 탐지, 처리, 기록, 보고하는 프로세스를 수립합니다.
    • CertiK의 지원 방식
      사고 대응 지원, 사고 조사, 규제 준수 보고.

  • 운영 복원력 테스트

    핵심 시스템, 애플리케이션, 인프라를 지속적으로 테스트합니다.
    • CertiK의 지원 방식
      침투 테스트, 소스 코드 검토, 스마트 계약 감사, 인프라 평가.

  • 제3자 리스크 관리

    핵심 공급업체 및 외부 파트너에 대한 의존성을 모니터링하고 관리합니다.
    • CertiK의 지원 방식
      제3자 위험 평가, 실사 지원, 외부 의존성에 대한 통제 검토.

솔루션

CertiK의 DORA & MiCA 규정 준수 솔루션

CertiK 서비스가 실제로 DORA 요구 사항에 어떻게 대응하는지 살펴보고, 상세하고 실행 가능한 보안 및 규정 준수 솔루션을 확인하세요.

  • 스마트 계약 감사

    • 요구 사항
      스마트 계약을 사용하거나 개발하는 경우, 체계적인 방법론을 갖춘 숙련된 제3자 감사 기관의 검토를 받아야 합니다.
    • CertiK 솔루션
      스마트 계약 및 레이어 1 체인 감사는 전문가 분석과 수학적 기법을 활용하여 막대한 금전적 손실로 이어질 수 있는 블록체인 공격에 대한 스마트 계약의 복원력을 검증하고 테스트하는 동시에, 기반 블록체인 프로토콜이 안전하고 의도대로 작동하는지 확인합니다.
    • MiCA 제4조 b항
      신청인이 스마트 계약을 사용 및/또는 개발하는 경우, 해당 스마트 계약에 대한 사이버 보안 소스 코드 검토.

  • 애플리케이션 침투 테스트

    • 요구 사항
      금융기관은 중요 기능을 지원하는 모든 핵심 애플리케이션에 대한 디지털 운영 복원력 테스트를 독립적인 당사자가 수행하도록 하고, 매년 테스트를 실시하며, 신규 또는 기존 애플리케이션을 배포하거나 재배포하기 전에 취약점 평가를 수행해야 합니다.
    • CertiK 솔루션
      CertiK는 OWASP 기반 방법론으로 애플리케이션 침투 테스트를 수행하여 취약점을 식별하고 우선순위별 수정 지침을 제공합니다. 시나리오 기반 테스트로 실제 공격 상황을 시뮬레이션하고 현실적인 위협 아래에서 애플리케이션이 어떻게 동작하는지 평가합니다.
    • DORA 제24조 6항
      초소기업을 제외한 금융기관은 핵심 또는 중요 기능을 지원하는 모든 ICT 시스템 및 애플리케이션에 대해 최소 연 1회 적절한 테스트가 수행되도록 해야 합니다.
    • MiCA 제4조 b항
      규정(EU) 2022/2554 제3조(22)에 정의된 핵심 및 중요 기능을 지원하는 ICT 자산에 대한 침투 테스트로, 블랙박스, 그레이박스 단계, 화이트박스 단계의 모든 감사 테스트 접근 방식에 따라 수행합니다.

  • 소스 코드 검토

    • 요구 사항
      금융기관은 가능한 경우 애플리케이션의 소스 코드 검토를 수행하여 취약점과 보안 약점을 탐지해야 하며, 여기에는 오픈 소스 분석과 보안 소프트웨어 개발 수명 주기 평가가 포함됩니다.
    • CertiK 솔루션
      소스 코드 검토를 통해 애플리케이션 코드의 보안 결함, 로직 오류, 잠재적 취약점을 식별하고, 보안을 강화하고 규제 표준 준수를 유지하기 위한 실행 가능한 권장 사항을 제공합니다.
    • MiCA 제4조 b항(침투 테스트)
      화이트박스 단계: 감사자는 분석을 시작하기 전에 가능한 한 많은 기술 정보(아키텍처, 소스 코드, 전화 연락처, 식별자 등)를 확보합니다.
    • MiCA 제4조 b항(스마트 계약)
      신청인이 스마트 계약을 사용 및/또는 개발하는 경우, 해당 스마트 계약에 대한 사이버 보안 소스 코드 검토.

  • 인프라 침투 테스트

    • 요구 사항
      금융기관은 네트워크 및 물리적 보안 평가를 포함하여 중요 기능을 지원하는 모든 핵심 인프라 구성 요소에 대해 매년 테스트를 수행하고, 신규 또는 기존 인프라 구성 요소를 배포하거나 재배포하기 전에 취약점 평가를 실시해야 합니다.
    • CertiK 솔루션
      인프라 침투 테스트는 PTES 및 NIST SP 800-115 방법론에 따라 수행되며, 실제 공격 행태에 가까운 시나리오 기반 시뮬레이션으로 네트워크, 서버, 핵심 시스템 전반의 취약점을 식별합니다.
    • DORA 제24조 6항
      초소기업을 제외한 금융기관은 핵심 또는 중요 기능을 지원하는 모든 ICT 시스템 및 애플리케이션에 대해 최소 연 1회 적절한 테스트가 수행되도록 해야 합니다.
    • DORA 제24조 4항
      초소기업을 제외한 금융기관은 테스트가 내부 또는 외부의 독립적인 당사자에 의해 수행되도록 해야 합니다.
    • DORA 제25조 2항
      중앙예탁기관과 중앙청산소는 신규 또는 기존 애플리케이션 및 인프라 구성 요소를 배포하거나 재배포하기 전에 취약점 평가를 수행해야 합니다.
    • MiCA 제4조 b항
      핵심 및 중요 기능을 지원하는 ICT 자산에 대한 취약점 평가 및 스캔, 네트워크 보안 평가, 구성 검토를 포함하는 사이버 보안 감사.

  • 인프라 구성 검토

    • 요구 사항
      금융기관은 핵심 및 중요 기능을 지원하는 ICT 자산의 구성 검토를 실시하여 시스템 및 네트워크 설정이 운영 복원력 요건을 충족하는지 확인해야 합니다.
    • CertiK 솔루션
      구성 검토는 서버, 엔드포인트, 네트워크 장치를 평가하여 보안 설정과 전술적 강화 역량을 확인합니다. 격차나 잘못된 구성을 식별하고, 고객이 문제를 해결하고 규제 요건에 부합할 수 있도록 지침을 제공합니다.
    • MiCA 제4조 b항
      규정(EU) 2022/2554 제3조(22)에 정의된 핵심 및 중요 기능을 지원하는 ICT 자산의 구성 검토를 포함하는 사이버 보안 감사.

  • Web3 사고 대응

    • 요구 사항
      금융기관은 최초, 중간, 최종 보고서를 포함하여 주요 ICT 관련 사고를 신속하게 보고하고, 문제를 탐지하기 위한 조기 경보 지표를 마련해야 합니다.
    • CertiK 솔루션
      자체 개발한 도구로 Web3 사고 조사를 전문적으로 지원하여, 조직이 탈중앙화 환경의 보안 문제를 분석, 평가하고 대응할 수 있도록 돕습니다.
    • DORA 제19조 4항
      금융기관은 주요 ICT 관련 사고에 대한 최초 통지, 중간 보고서, 최종 보고서를 관할 당국에 제출해야 합니다.
    • DORA 제17조 3항 a호
      ICT 관련 사고 관리 프로세스는 조기 경보 지표를 마련해야 합니다.
    • DORA 제19조 5항
      금융기관은 보고 의무를 제3자 서비스 제공업체에 위탁할 수 있지만, 그 책임은 전적으로 금융기관에 있습니다.

제재

규정 미준수 시 처벌

DORA 및 MiCA 요건을 충족하지 못했을 때 따르는 심각한 결과를 알아보세요.

  • 운영 제한

    • MiCA
      CASP 경영진의 직무 수행을 최대 10년간 일시적으로 금지할 수 있습니다. 인가가 정지되거나 철회될 수 있습니다. 비규제 기관은 평가인 선임 대상이 됩니다.
    • DORA
      위험이 해결되지 않으면 핵심 ICT 제3자 서비스 제공업체 이용이 일시적으로 중단되어 운영 연속성이 저해될 수 있습니다.

  • 벌금

    • MiCA
      • 일반 암호자산: 500만 유로 또는 연간 매출액의 3%
      • ART 및 EMT: 500만 유로 또는 연간 매출액의 12.5%
      • CASP: 500만 유로 또는 연간 매출액의 5%
      • 시장 남용: 250만~1,500만 유로 또는 매출액의 2~15%
      • 자연인: 최대 100만 유로 및 이익 기반 가중 부과
    • DORA
      규정 미준수 시 전 세계 연간 총매출액의 최대 2%.

자료

관련 자료로 더 알아보기

무엇을 만들고 계신지 알려 주세요.