주요 내용
지난 2022.4.14. 발표한 “클라우드 및 망분리 규제 개선방안” 에 따라 ｢ 전자금융감독규정 ｣ 개정안을 변경예고 합니다.
클라우드 및 망분리 규제 개선사항이 금융현장에 원활히 안착할 수 있도록 5월 9일부터 3개월간 유권해석반 을 운영하고,
- 유권해석 내용 등을 반영하여 ｢ 금융분야 클라우드 가이드라인 ｣을 개정 (8~10월)할 예정입니다.
아울러, 규제 개선으로 개인정보보호 등 내부통제시스템의 저하가 발생하지 않도록 보안시스템 점검 및 컨설팅 등을 실시할 예정입니다. 1. 추진 배경
정부는 지난 4월 14일 “클라우드 및 망분리 규제 개선방안” 을 발표하였습니다.
- 클라우드 의 경우 사후보고 전환 등 이용절차 를 간소화 하고, 망분리 규제의 경우에도 개발‧테스트 분야 부터 단계적 으로 완화 할 예정입니다.
금번 “클라우드 및 망분리 규제 개선방안”이 금융현장에 원활하게 안착할 수 있도록 전자금융감독규정 개정안을 변경예고 하였습니다. 2. ｢ 전자금융감독규정 ｣ 개정안 주요내용 [1] 클라우드 이용절차 명료화 및 비중요업무에 대한 절차 간소화 (안 제14조의2제1항)
- ( 현행 ) 클라우드서비스를 이용하려는 업무의 중요도 평가 시 그 기준이 모호 하며, 업무 중요도와 관계없이 이용 절차가 일률적으로 규정 되어 있습니다.
- ( 개선 ) 클라우드 이용업무의 중요도 평가 기준을 구체화 하여 규정에 명시하였습니다. - 또한, 비중요 업무로 분류된 업무에 대해서는 클라우드컴퓨팅서비스 제공자의 건전성 및 안전성 평가, 업무 연속성 계획, 안전성 확보조치 절차를 완화 하여 수행할 수 있도록 규정하였습니다. [2] 클라우드 이용시 금융회사 등의 사전보고의무를 사후보고로 전환 (안 제14조의2제4항, 제14조의2제5항)
- ( 현행 ) 금융회사 등이 중요업무에 대해 클라우드를 이용하려는 경우 7영업일 이전에 금융감독원장에 보고 하여야 합니다.
- ( 개선 ) 금융회사 등이 클라우드 이용계약을 신규로 체결하는 경우에는 3개월 이내에 금융감독원장에 보고 하여야 합니다. [3] 연구·개발 목적의 경우 망분리 규제 완화 (안 제15조제1항제3호 및 제5호)
- ( 현행 ) 개인신용정보 등을 보유하지 않고 전자금융거래의 중요성이 낮은 연구·개발 분야까지 물리적 망분리 규제가 일률적으로 적용 되었습니다.
- ( 개선 ) 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 연구·개발 목적 의 경우 망분리 규제를 완화 할 수 있도록 하였습니다.
다만, 금융회사 등의 자체 위험성 평가 및 망분리 대체 정보보호통제 적용이 필요 3. 향후 추진일정
금번 ｢ 전자금융감독규정 ｣ 개정안 은 규제개혁위원회 심사, 금융위 의결 등을 거쳐 2023년 1월부터 시행 될 예정입니다.
- 구체적으로는 제도개선안이 금융현장에 원활하게 안착할 수 있도록 다음과 같은 일정으로 추진 할 예정입니다. (1) 유권해석반 운영 : `22.5.9일~ 7.31일
( 목적 ) 금융회사 등에게 클라우드 및 망분리 규제 개선사항 등에 대한 구체적인 해석‧설명 을 제공 하여 혼선을 최소화하기 위함입니다.
( 구성 ) 금융위, 금융감독원, 금융보안원, 금융협회
로 구성됩니다.
은행연합회, 금투협회, 생‧손보협회, 여전협회, 저축은행중앙회, 핀산협
( 일정 ) `22.5.9∼7.31일 까지 3개월간 운영할 예정입니다.
- 원활한 운영을 위해 5.9일∼5.27일 3주간 접수 를 받고(접수처:금융협회) 7.31일 까지 순차적으로 회신하겠습니다.
다만, 기간내에 접수하지 못하더라도 향후 ｢금융분야 클라우드 가이드라인｣ 개정 과정(`22.8～10월)에서 추가 문의가 가능합니다.
( 질의대상 ) ① 제도개선을 위한 ｢ 전자금융감독규정 ｣ 개정안 에 대한 의견 , ② 개선사항 중 구체적인 해석‧설명 이 필요한 사항 등입니다.
( 절차 ) 금융회사 등 ⇄ 금융협회 ⇄ 금감원‧금보원 ⇄ 금융위 < 유권해석반 운영방안 >
- ( 접수 ) 금융회사 등은 클라우드 및 망분리 규제개선사항에 대한 유권해석, 건의사항 등을 금융협회에게 신청합니다.
실명신청을 원칙으로 하되 보안유지 등이 필요한 경우 예외적으로 익명 신청을 허용합니다.
협회가 존재하지 않는 클라우드서비스제공자는 금융보안원에 직접 신청하면 됩니다. - 단순‧반복적인 질의 는 금융협회 에서 자체적으로 처리하고 심층검토 가 필요한 질의 는 금감원‧금보원 에게 전달할 예정입니다.
- ( 검토 ) 금보원‧금감원 에서 1차적으로 검토 하고 최종적으로 금융위가 답변안 을 작성할 계획입니다. - 중요하거나 복잡한 사항 에 대해서는 금융위, 금감원, 금보원, 외부전문가 가 참여하는 정기회의에 서 논의 후 최종 결정 할 예정입니다.
- ( 회신‧전파 ) 검토 결과를 금융회사 등에 회신하며, 회신내용 중 업계 공통사항, 중요사항 등은 금융보안원의 홈페이지 내 “클라우드 전담 게시판 (regtech.fsec.or.kr) ” 에 게시할 예정입니다. (2) ｢ 금융분야 클라우드 가이드라인 ｣ 개정 : `22.8~10 월
유권해석반에서 검토한 사항 등을 반영해서 ｢ 금융분야 클라우드 가이드라인 ｣ 을 개정 하겠습니다.(`22.8~10월)
- 클라우드의 세부 이용절차, 구체적인 사례 등을 포함 하여 금융회사 등이 클라우드 업무 과정에서 참고할 수 있도록 하겠습니다. (3) 내부통제시스템 점검 및 컨설팅 : `22.11~12 월
이와 함께, 클라우드 및 망분리 규제 개선으로 인해 금융회사 등의 금융보안 관련 내부통제시스템의 중요성이 확대 된 만큼,
- 금융회사 등의 정보보호심의위원회 운영실태 등 내부통제시스템에 대한 적정성을 점검 하고 필요시 컨설팅 등을 통해 선제적으로 개선 될 수 있도록 유도하도록 하겠습니다.(11~12월)