- 1. 추진 배경
전자금융거래법 (이하 ‘전금법’) 개정법률이 지난 5.22일 공포 되었으며, ’13.11.23일부터 시행 예정임 < 전금법 주요 개정내용 > ① 해킹사고로 인한 이용자 손해에 대한 금융회사의 일차적 책임 명확화 ② 금융회사 등의 정보기술부문 계획 수립 ․금융위 제출 의무화 및 계획 관련 CEO책임 강화 ③ 금융회사 전자금융기반시설의 취약점 분석·평가 의무화 ④ 해킹 등 전자적 침해행위 금지 및 침해행위에 대한 대응 체계 강화 ⑤ 금융회사 등이 전자금융거래 안정성 확보의무 불이행시 제재 근거 신설
- 또한, 금융위 등의 침해사고 대응 전담반 운영 , 금융회사의 임․직원 보안 교육 강화 등의 내용이 담긴 「금융전산 보안강화 종합대책」 을 지난 7.11일 발표하였음
이에 따라 , 개정법률의 위임사항을 정하고 종합대책을 이행 하는 한편, 그동안 제도운영 과정에서 제기된 개선사항 등을 반영 하기 위하여 전자금융거래법 시행령 개정을 추진
- 동법 시행령 개정안이 ’13.8.14일 금융위에 보고되었고, '13.8.21일부터 '13.9.30일까지 입법예고 될 예정 2. 주요 내용 가. 금융전산 보안강화 정보기술부문 계획의 내용 구체화 및 CEO책임 명확화 (안 §11조의2)
- 금융회사 및 전자금융업자 는 매년 정보기술 부문 추진목표 및 전략, 투입 인력․예산 등 의 추진실적 및 향후계획 을 수립하고, 대표자의 확인·서명 을 받아 금융위에 제출 취약점 분석․평가 대상 분야 확대 (안 §11조의4,
- 5)
- 금융회사 등이 취약점 분석 평가를 실시 할 분야
에 외부위탁된 정보기술부문, 전자금융보조업자의 시스템 을 추가 하고,
전금법상 취약점 분석․평가 분야 : 정보기술부문의 조직․시설 및 내부통제, 전자적 장치 및 접근매체, 침해사고 대응조치 - 비용 부담, 평가전문기관의 부족 등을 고려하여 금융회사 등의 규모에 따라 분석․평가의 내용, 주기 등을 차등화
자산규모, 종업원 수 등을 감안하여 금융위가 정하는 일정규모 이하의 금융회사 등은 일반적인 절차보다 간소화된 “간이 취약점 분석·평가” 실시 금융위원회의 침해사고 대응 업무 확대 (안 §11조의6)
- 법에서 정한 업무
이외에 침해사고 대응 전담반 운영 등 침해 사고 대응․관리 체계 및 침해사고 정보공유체계 구축 , 피해 확산 방지를 위한 보안 소프트웨어 보완요청 등의 업무 수행
침해사고 관련 정보 수집․전파, 침해사고의 예보·경보, 침해사고에 대한 긴급조치 정보보호최고책임자(CISO) 업무에 IT보안 교육 추가 (안 §11조의3)
- 금융회사 등의 임․직원의 정보보안에 대한 인식 제고를 위해 CISO 업무에 임․직원에 대한 정보보안 교육 책무 를 명시 중소 금융회사의 CISO 자격요건 완화 (안 별표1)
- 일부 중소 금융회사는 내부인력 중 CISO 자격요건 (학력·경력 등) 을 충족하는 자가 없어 지정에 애로를 겪고 있고, 결과적으로 CISO가 지정되지 않아 IT보안 업무수행의 책임성 확보 곤란
특히, 신협 등 단위조합(2,343개)의 CISO지정률(22.8%)이 낮음(단위조합을 제외한 전체 금융회사(623개) 평균지정률 : 79.5%) - 종업원 수가 일정 규모(20명) 이하인 농협, 신협 등의 단위 조합 및 새마을금고 는 대표자 또는 대표자가 지정하는 자를 CISO로 지정·운영할 수 있도록 허용 나. 기존 규제 합리화 일부 금융회사에 대해 전금법상 주요의무의 적용 배제 (안 §5)
- 전금법상의 의무가 통상 전자금융거래를 전제 하고 있고, 회사 규모가 작을수록 이러한 의무이행에 따른 부담이 상대적으로 큰 점 을 고려하여, - 전자금융업무를 수행하지 않는 금융회사 중 중소규모 회사
에 대해서는 전금법상 주요의무 ** 의 적용을 배제
｢중소기업기본법｣상 중소기업 기준을 고려하여 “ 종업원 수 200명 미만 또는 영업수익 200억원 이하인 금융회사(단, 총자산이 2 조원 이상이고 종업원 수가 300명 이상인 경우는 제외) ” 로 규정 ** ①정보기술부문 및 전자금융업무 관련 금융위 규정 준수 ②정보기술부문 계획수립 및 제출 ③CISO 지정 ④전자금융기반시설의 취약점 분석․평가 해킹사고에 대한 이용자의 고의․중과실 범위 조정 (안 §8)
- 개정법률에 따라 해킹사고 등 발생시 금융회사가 이용자의 손해에 대 해 일차적 책임 을 부담하게 됨에 따라, 「 전자금융사기 예방서비스 」
실시 등 금융회사 등의 전자금융거래 보안성 확보 노력 이 강화 될 전망
공 인인증서를 (재)발급받거나 인터넷뱅킹으로 1일 누적 30 0만원 이상 이체시 추가적 인 본인인증(단말기 지정, SMS 인증 등)을 거치도록 하여 보이스피싱 등 전자금융사기를 예방하는 서비스(‘13.9.26 전면시행 예정) - 이에 대응하여, (ⅰ) 금융회사 등이 보안강화 를 위해 요구하는 본인 확인절차 를 이용자가 정당한 이유 없이 거부 하거나 , ( ⅱ ) 이용자가 본인인증수단 또는 매체 를 대여․위임․제공 또는 누설․노출․방치 하는 경우도 고의․중과실 범위에 추가
종전에는 이용자가 접근매체를 대여․위임․제공하거나 누설․노출․ 방치한 경우 이용자의 고의․중과실에 해당 3. 향후 일정
입법예고 이후 규개위·법제처 심사 등을 거쳐 개정된「전자금융거래법」 과 함께 ’13.11.23일 시행 할 계획
세부 개정내용은 다음에서 확인할 수 있음 금융위원회( www.fsc.go.kr ) → 법령정보 → 입법예고/규정변경예고