주요 내용
그간 과도한 클라우드 및 망분리 규제 로 인해 디지털 신기술을 도입∙활용 하는데 어려움 이 있다는 의견이 지속 제기
금융 분야의 디지털 전환을 안정적으로 뒷받침 하기 위해 클라우드 및 망분리 규제 개선 을 추진
- 클라우드 이용이 가능한 ① 업무 범위를 명확 히 하고, ② 중복 되거나 유사 한 이용절차 를 정비 하고, ③ 사전보고를 사후보고로 전환
- 일률적∙획일적으로 적용되어온 망분리 규제 를 개발∙테스트 분야 등부터 단계적으로 완화 1. 추진 배경
금융업무의 디지털 전환이 가속화되면서 클라우드, 빅데이터, 인공지능(AI) 등 디지털 신기술 에 대한 금융권 수요 가 늘어나고 있습니다.
한편, 클라우드, 망분리 등 현행 금융보안 규제 가 지나치게 엄격 하여 적극적인 디지털 신기술 도입∙활용을 통한 금융혁신을 저해한다는 의견이 지속 제기되어 왔습니다.
이에 정부는 전문가 및 이해관계자 등의 의견을 청취
하여 디지털 혁신을 위한 클라우드 및 망분리 규제 개선방안 을 마련하였습니다.
금융위원장 주재 “핀테크산업 혁신 지원 간담회(2021.12. 9.)” 등 2. 클라우드 및 망분리 규제 현황 (1) 클라우드 이용규제 현황
( 이용현황 ) 그간 금융권은 클라우드
를 내부업무 (메일, 메신저 등), 고객서비스 (고객상담, 마케팅) 등 후선업무 에 주로 활용하였습니다.
전산설비를 직접 구축하는 대신 전문업체로부터 IT자원을 필요한 만큼 탄력적으로 제공받아 사용하는 컴퓨팅 환경
- 최근에는 데이터 분석, 시스템 관리, 인터넷‧모바일 뱅킹 등 핵심업무 에도 클라우드 활용도를 높여 나가는 추세입니다. < 금융권의 클라우드 이용사례 > ① 고객 맞춤형 금융상품 개발을 위해 클라우드 내의 AI기술을 활용한 빅데이터 분석 을 활용 ② 클라우드가 제공하는 고성능 서버 를 활용하여 리스크 분석, 파생상품 개발 등 복잡한 계리업무를 빠르게 처리
( 이용절차 ) 금융권은 후선업무 등 비중요업무 뿐만 아니라 중요업무 에 대해서도 클라우드 이용이 가능합니다.
- 다만, 금융회사 등은 ① 업무중요도 평가, ② 업무연속성 계획 및 ③ 안전성 확보조치 방안 수립, ④ 업무위수탁기준 보완, ⑤ 클라우드서비스제공자 (Cloud Service Provider : 이하 ‘CSP’) 안전성 평가 등을 수행한 후, - ⑥ 정보보호위원회의 심의‧의결 을 거쳐 클라우드 이용계약을 체결하고 금융감독원에 ⑦ 사전보고
하여야 합니다.
비중요업무의 경우 ｢정보처리위탁규정｣에 따라 사후보고 ➀ ( 업무중요도 평가 ) 1. 고유식별‧개인신용정보 처리 또는 2. 전자금융거래의 안전성 및 신뢰성에 중요한 영향 → 중요업무 ➁ ( 업무연속성 계획 ) 데이터 백업, 재해복구, 침해사고 대응 훈련계획, 출구전략 등을 수립 ➂ ( 안전성 확보조치 방안 ) 금융회사 등은 계정관리, 접근통제 등 클라우드 이용시 자체 보안통제가 구현되도록 안전성 확보조치 방안을 수립 ➃ ( 위수탁기준 보완 ) 위수탁계약의 결정‧해지 절차 및 재위탁, 모니터링, 비상대책, 조사‧ 접근권 확보에 관한 사항을 보완한 업무위수탁 기준 마련 ➄ ( CSP 평가 ) CSP의 재무 건전성 및 안정성에 대한 평가를 실시
비중요업무 의 경우 금융회사 등이 ③, ④ 의 항목 을 자율적 으로 조정 가능
( 평가 ) 불명확한 기준, 과도한 보고 절차 등으로 금융회사 등의 클라우드 수요 에 탄력적 으로 대응 하는데 한계 가 있다는 지적이 있습니다.
- 또한, 비중요업무 의 경우에도 클라우드 이용시 준수해야 하는 규제‧절차 가 중요업무와 큰 차이가 없는 상황입니다. (2) 망분리 규제 현황
( 개요 ) 망분리 규제 는 외부의 침입으로부터 내부 전산자원을 보호하기 위해 내부망과 외부망을 분리 하는 네트워크 보안기법의 일종입니다.
- 망분리 는 내부망과 외부망에 접속하는 단말기를 물리적으로 분리 (PC 2대 사용)하는 방식과 가상화 기술 등을 이용하여 내부망과 외부망에 접속하는 단말기를 논리적으로 분리 (PC 1대 사용)하는 방식으로 구분됩니다.
( 규제현황 ) `13년 대규모 금융전산사고 를 계기로 금융 분야에 망분리 규제 를 도입하면서 그 방식으로 물리적 망분리 를 채택하였습니다.
- 즉, 금융회사, 전자금융업자 는 내부망에 연결된 전산시스템‧단말기 를 외부망과 물리적으로 분리 하여 접속을 제한하여야 합니다.
미국, EU, 호주 등 주요국의 금융당국은 보안 강화를 위해 금융회사의 망분리 정책을 권고하면서 논리적 망분리를 허용
( 평가 ) 망분리 규제는 도입 이후 금융전산사고가 크게 감소
하는 등 해킹 등으로부터 금융시스템을 안전하게 보호한 것으로 평가됩니다.
’17년 전세계가 랜섬웨어 감염 사고로 피해를 입었음에도 국내 금융권은 피해가 전무
- 다만, 기업별‧업무별 차이를 감안하지 않고 일률적으로 물리적 망분리 규제가 적용됨에 따라 개발업무 등의 효율성이 저해
되고 혁신기술의 활용 에 어려움 ** 이 있다는 지적이 제기되었습니다.
최근 개발업무는 폐쇄된 형태가 아닌 인터넷에 공개된 소스코드 등을 적극 활용 ** AI, 빅데이터 등이 오픈소스 형태로 제공되고 있어 인터넷과 연계가 불가피 3. 개선 방안 (1) 클라우드 이용규제 개선방안 [1] 클라우드 이용 업무 에 대한 중요도 평가기준 명확화
- ( 문제점 ) 클라우드를 이용하는 경우 해당 업무 의 중요도를 평가 해야 하나, 중요도의 판단 기준이 불명확 한 지적이 있었습니다.
중요도평가를 통해 비중요업무로 분류될 경우 업무연속성 계획 수립 등에 있어 금융회사 등의 부담이 일부 완화 - 현재 “개인신용정보” 처리여부, “전자금융거래의 안정성 및 신뢰성에 중대한 영향” 을 미치는 경우 등을 규정하고 있으나, 실제 적용에는 어려움이 있습니다.
- ( 개선방안 ) 해외 사례 등을 감안하여 업무 중요도 평가 에 대한 구체적 기준 을 마련할 예정입니다.
업무중요도 평가는 금융회사 등이 내부의 정보보호위원회 등 심의를 통해 결정 < 업무중요도 평가 기준(해외사례) >
- ( 싱가포르-MAS) ①아웃소싱 할 업무의 수익 및 이윤에 대한 기여도, ②아웃소싱이 소득·지급능력·유동성 등에 미치는 잠재적인 영향력, ③아웃소싱 실패 시 치러야 하는 비용, ④아웃소싱 비용이 기관의 운영 비용 총액에서 차지하는 비율 ⑤업체 서비스 중단 및 기밀성·보안 침해가 발생하는 경우 고객에게 미치는 영향 등을 평가 [2] CSP 평가항목 을 141 개에서 54 개 로 축소
- ( 문제점 ) 금융회사 등은 클라우드 이용 전에 클라우드서비스사업자 (CSP)의 건전성‧안전성 평가 를 수행하여야 합니다. - 이 경우 평가항목은 총 141개 (‘기본 보호조치 항목
’ 109개, ‘금융부문 추가보호조치**’ 32개)로 평가항목이 많고 항목간 중복 이 존재하여 現 절차 중 가장 큰 부담으로 작용하고 있었습니다.
기본보호조치 항목은 클라우드서비스 보안인증제(과기부)의 평가항목을 준용하고 있으며, 국내외 보안인증을 취득하는 경우 생략이 가능 ** 금융 부문에 특화된 기준으로서 CSP의 건전성 및 추가 보안사항을 평가
- ( 개선방안 ) 총 141개 CSP 평가항목을 54개 (필수 16개+대체 38개)로 간소화 하고, 특히 비중요업무 의 경우에는 그 중 필수항목(16개) 만 평가하도록 평가항목을 대폭 간소화하였습니다.
CSP 평가 등 절차 는 합리적으로 개선 하되, 정보보호위원회의 심의‧의결 을 거치도록 하여 금융회사 등의 책임성은 확보할 계획임
국내외 보안인증을 취득한 CSP 의 경우 인증시 평가항목을 제외한 항목만 평가 [3] 업무 중요도 에 따른 클라우드 이용절차 차등화
- ( 문제점 ) 업무 중요도 평가 결과 비중요업무 라 하더라도 중요업무와 동일한 클라우드 이용절차를 준수 해야 하는 문제가 있습니다. - 즉, 비중요업무 는 업무연속성 계획 수립 시 금융회사 등이 자율적으로 일부 항목을 조정 할 수 있으나 실무적으로는 중요업무와 유사한 수준 으로 수행하고 있었습니다. < 현행 중요업무와 비중요업무의 이용절차 비교 > 업무연속성 계획 수립 안전성확보 조치 수립 업무위수탁 기준 보완 CSP 평가 정보보호위원회 의결 중요업무 ○ ○ ○ ○ ○ 비중요업무 △ △ △ ○ ○
△의 경우 금융회사 등이 자율적으로 점검항목이 조정가능함을 의미
- ( 개선방안 ) 비중요업무 의 경우 클라우드서비스사업자(CSP) 평가항목 중 일부 면제 등 클라우드 이용절차를 완화 하겠습니다. - 업무 연속성 계획, 안전성 확보조치 등 수립시에도 비중요업무에 적합한 별도 기준을 제시 함으로써 중요업무와 비중요업무간 절차적 차이점을 명확히 하겠습니다. < 현행 중요업무와 비중요업무의 이용절차 비교 > 업무연속성 계획 수립 안전성확보 조치 수립 업무위수탁 기준 보완 CSP 평가 정보보호위원회 의결 중요업무 ○ ○ × ○ ○ 비중요업무 △ △ × △(기준완화) ○
△의 경우 금융회사 등이 자율적으로 점검항목이 조정가능함을 의미 [4] 금융회사 등의 CSP 평가 부담 완화를 위한 대표평가제 도입
- ( 문제점 ) 특정 금융회사 (A) 가 특정 클라우드(a) 를 이용하기 위해 CSP 평가를 하였더라도 다른 금융회사(B)가 동일한 클라우드(a) 를 이용하기 위해서는 별도의 CSP평가 를 수행하는 불편이 있었습니다.
클라우드를 이용하는 업무의 성격 등이 유사할 경우 CSP평가도 유사한 방식으로 진행된다는 점에서 절차적 비효율성이 있다는 의견이 있었음
- ( 개선방안 ) 금융보안원 이 금융회사를 대표 하여 CSP (a)를 평가 하고 금융회사 (A, B)는 금융보안원의 평가결과를 활용 할 수 있도록 하겠습니다. [5] 새로운 형태의 클라우드 (SaaS) 에 대한 별도 평가기준 마련
- ( 문제점 ) 현재의 CSP 평가항목 은 최근 활용도가 높아지고 있는 SaaS (Software as a Service)를 평가하기에 적합하지 않은 측면
이 있습니다.
CSP 평가항목은 서버‧저장장치 등을 클라우드로 제공하는 IaaS(Infrastructure as a Service) 사업자의 물리적 요건 등을 중심으로 구성하고 있어 물리적 요건을 갖추지 않은 SaaS 사업자에 대한 평가가 곤란한 측면
- ( 개선방안 ) 클라우드서비스 보안인증제(CSAP)과 유사 하게 금융분야에서도 SaaS에 대한 별도 평가기준 을 마련하겠습니다. [6] ‘ 업무위탁 운영기준 보완사항 ’ 등 제출서류 간소화
- ( 문제점 ) 금융회사 등이 클라우드를 이용하기 위해 제출 해야 하는 서류 가 중복 되고 과도 하다는 의견이 제기되었습니다. - 예를 들어, 금융회사 등은 ‘업무위탁 운영기준 보완사항
’ 을 작성‧제출해야 하는데, 그 항목 중 일부가 ‘업무연속성 계획’ 에도 중복포함되어 있는 등의 문제가 있습니다.
전자금융 감독규정 제14조의2제1항제3호 및 별표 2의3(위수탁계약 결정 사항, 위탁업무 모니터링 사항, 비상대책 관련 사항, 위탁업무 관련 조사·접근권 확보 사항 등)
- ( 개선방안 ) 유사·중복 되는 사항들을 간소화
하여, 금융회사 등의 서류 작성 및 제출 부담을 완화하도록 하겠습니다.
‘업무위탁 운영기준 보완사항’에서 중복되는 항목 등은 ‘업무연속성 계획’ 등으로 통합하되, “계약서 기재사항”등과 같이 꼭 필요한 항목은 유지 [7] 클라우드 이용시 사전보고를 사후보고 로 전환
- ( 문제점 ) 금융회사 등은 중요업무 의 경우 클라우드를 이용하려는 날의 7영업일 이전에 금융감독원에 보고 하도록 되어 있는데, 이는 적시성 측면에서 바람직하지 않다 는 지적이 있었습니다.
- ( 개선방안 ) 금융회사 등이 클라우드를 이용하려는 경우 요구되는 사전보고를 사후보고로 전환 하겠습니다. - 중요업무에 대한 계약 체결, 계약 내용의 중대한 변경 등의 경우 3개월 이내에 사후보고 할 수 있도록 하겠습니다. (2) 망분리 규제 개선방안 [1] 개발 ‧ 테스트 분야 에 대한 망분리규제 예외적용
- ( 문제점 ) 개인신용정보 등을 보유하고 있지 않고 전자금융거래의 중요성이 낮은 개발ㆍ테스트 서버까지 물리적 망분리 가 일률적으로 적용되고 있어 개발‧테스트의 효율성이 저해된다는 지적이 있습니다.
- ( 개선방안 ) 개발ㆍ테스트 서버 에 대해서는 물리적 망분리 규제를 예외적으로 완화 하도록 하겠습니다.
규제 샌드박스를 통해 신기술 금융서비스 연구‧개발을 위한 카카오뱅크 부설 ‘금융기술연구소’에 대한 망분리 규제 예외 조치(`20.4월) 허용 - 다만, 개인정보 유출 등 보안사고 발생을 최소화하기 위해 보완조치
도 마련하겠습니다.
예시 : 고객의 개인신용정보 또는 계좌거래정보를 활용하지 않을 것, 오픈소스 접속‧활용 등에 대한 내부기준을 수립‧이행할 것 등 [2] 비금융업무 및 SaaS 에 대한 망분리 예외조치 적용 추진
- ( 문제점 ) 금융거래와 무관하고 고객·거래정보를 다루지 않는 운영시스템
에 대해 망분리 규제의 완화 필요성이 지속 제기되었습니다.
예시 : 인사, 그룹웨어 등 경영지원업무 및 관련 정보 취급 시스템 - 특히 비중요업무에 대해 클라우드 형태의 소프트웨어(SaaS) 를 활용하는 경우에도 망분리 규제가 적용되어 불편하다는 의견이 있었습니다.
- ( 개선방안 ) 규제샌드박스 를 활용하여, 금융거래와 무관 하고 고객·거래정보를 다루지 않는 경우에는 망분리의 예외를 허용 하고 - 비중요업무 의 SaaS 이용시 내부망에서 가능하도록 허용 하겠습니다.
다만, 규제샌드박스의 부가조건을 통해 정보보호를 위한 보완 장치 마련 < 경영지원망의 망분리 규제완화 ( 예시 ) > [3] 단계적 망분리 규제 완화 추진 ( 중장기 )
- ( 문제점 ) 현행 망분리 규제는 금융회사 등의 업무범위 등과 무관하게 일률적으로 적용되고 있습니다.
예컨대, 고객정보를 직접 보유하지 않고 자산운용에만 집중하는 회사(자산운용사)의 경우 망분리 규제 필요성이 여타 금융회사에 비해 낮음에도 은행과 동일한 수준의 망분리 규제가 적용
- ( 개선방안 ) 금융회사 등의 책임성 확보, 금보원의 보안관제강화 등을 전제로 망분리 규제의 단계적 완화 를 추진하겠습니다.(중장기) - ① 망분리 대상업무를 축소 하고, ② 물리적‧논리적 망분리의 선택가능성 등 을 금융회사 등에 부여 하는 방식을 검토할 계획입니다. 4. 향후 계획
’22.4월중(잠정) 제도개선사항을 반영한 전자금융거래법 시행령 및 감독규정 개정안을 입법예고하고, 조속한 개정 을 통해 2023년부터 시행 될 수 있도록 하겠습니다.
금년 말까지 ｢ 금융분야 클라우드컴퓨팅서비스 이용 가이드라인 ｣ 도 개정 하여,
- 全 금융권이 실무적으로 참고할 수 있는 구체적인 절차 및 기준 을 마련하도록 하겠습니다.
가이드라인 개정 등 제도개선 사항이 조기에 안착 될 수 있도록 ’22.5월 부터 금융위, 금감원, 금보원, 금융협회 합동으로 유권해석반 을 운영하여 금융회사 등 이해당사자들과 충실히 소통해 나가겠습니다.
유권해석 자료는 정리하여 전체 금융회사 등과 공유하고, ｢금융분야 클라우드컴퓨팅서비스 이용 가이드라인｣에 반영할 예정입니다.
클라우드 및 망분리 제도개선 은 금융회사 등의 자율 책임에 따른 내부통제 기준 마련 등이 전제되어야 하는 만큼,
- 금년 하반기 중 금융회사 등의 정보보호심의위원회 구성‧운영 현황 등 내부통제시스템을 점검해 나갈 예정입니다.