｢전자금융감독규정｣ 일부개정고시안 금융위원회 의결 - 금융권의 자율보안체계 확립을 위해 금융보안규제를 “규칙(Rule)에서 원칙(Principle) 중심”으로 개선(수범사항 293개 → 166개) - 금융시스템의 안정적 운영을 위해 재해복구센터 구축 의무 대상을 확대 - 전자금융사고시 소비자 피해를 보상하기 위한 책임이행보험 등의 한도를 상향 ’25. 2. 5.(수) 개최된 제2차 금융위원회 정례회의에서 「전자금융감독규정」 일부개정규정안 이 의결 되었다. 금번 규정 개정은 금융보안 규제를 “ 규칙 (Rule) → 원칙 (Principle) 중심 ”으로 개선하여 금융권의 자율보안 토대 를 마련 하고, 금융전산 복원력을 강화 하여 재해·전자적 침해 등으로부터 금융시스템을 안정적으로 보호하는 내용을 담고 있다.
[ 개정 주요내용 ] 그간 「전자금융감독규정」 이 금융보안기준을 행위규칙 (Rule) 중심으로 지나치게 세세하게 규정하고 있어, 금융회사등으로 하여금“ 규정만 준수하 면 면책 ”이라는 소극적인 인식 을 초래 하고 상황별 유연한 보안 대응을 어렵게 한다 는 지적이 있어 왔다. 또한 금융보안을 정보보호최고책임자 ( CISO) 및 정보보호부서만의 일로 여기는 경향으로 인해 전사적 차원 에서 적극적 으 로 보안 역량 강화 에 힘을 쏟기 어렵다 는 의견도 제시되었다.
이에 「전자금융감독규정」 을 원칙 (Principle) 중심 으로 기술 하여 자율보안체 계를 구축할 수 있도록 유도하는 한편, 293개 에 달하는 세세한 행위규칙 (Rule) 을 166개 로 합리적 으로 정비 하였다. 건물·설비· 전산 실 관리 및 각종 내부통제·사업운영 등과 관련하여 금융회사 의 자율 성을 대폭 확대하 였고, 정보보호최고책임자 ( CISO) 가 정보보호위원회 주요 심의·의결 사항 등을 이사회 보고 하도록 하여 보안 관련 내부의사결정 체계를 개선하였다.
향후 금융당국은 「전자금융감독규정」 개정에 이어 “ 자율 보안- 결과책 임” 을 주요 내용으로 하는 디지털 금융보안법제 를 마련함으로써 금융보안 패러다임 을 자율보안체계로 전환 해 나갈 예정이다. 한편, ’22년 카카오 데이터센터 화재 이후, 재해·전자적 침해 등으로부터 금융전산 복원력 (Cyber Resilience) 강화와 신속한 소비자 피해구제 필요성이 제기되어 왔다.
금번 「전자금융감독규정」 개정에 따르면 현재 재해 복구센터 설치가 의무화되어 있는 은행, 금융투자업자, 보험회사 외에 일정 규모를 갖춘 여신전문금융회사 와 전자금융업자 등.
도 의무적 으로 재해 복구센터 를 설치 하게 된다. 아울러, 금융소비자의 피해 구제를 강화하기 위해 전자 금융사고시 책임이행보험등의 최저 보상한도 ** 도 상향된다.
(현행) 은행, 금융투자업자, 보험회사, 신용카드업자, 저축은행(중앙회 전산 이용) 등 → (추가) 여신전문금융회사 (총자산 2조원↑ + 상시종업원 300명↑) , 저축은행 (자체 전산설비) , 전자금융업자 (총거래액 2조원↑) ** 자산 2조원 이상 금융투자업자 (5억원 → 10억원) , 선불전자금융업자 등 (1억원 → 2억원) [ 향후일정 및 기대효과 ] 금일 금융위원회에서 의결된 「전자금융감독규정」 은 고시 후 즉시 시행 된 다. 다만, 정보보호위원회의 주요 심의·의결사항의 이사회 보고와 관련한 규정은 금융회사등의 내규 정비 등 준비기간을 고려하여 고시한 날로부터 6개월 후 인 ‘ 25.8.5일 부터 적용되며, 책임이행보험의 한도상향과 재해복구 센터 설치와 관련한 규정은 금융회사등의 보험 가입기간 및 물적설비 구축 기간 등을 감안하여 1년 후인 ’26.2.5일 부터 적용된다. 금번 「전자금융감독규정」 개정으로 클라우드 서비스 도입, 생성형 AI 활용 등 빠르게 변화하는 금융 IT환경에서 금융회사등이 전사적인 차원 에서 보안 위협 을 스스로 진단 하여, 복잡 하고 다변화되는 위험 에 유연 하게 대응 해 나갈 수 있을 것으로 기대되며, 향후 국민들이 재해발생시 에도 금융 서비스 중단에 대한 우려 없이 안심하고 서비스를 이용 하는 한편, 전자금융사고시 두텁게 피해구제 를 받을 수 있을 것으로 보인다.