전자금융감독규정 일부개정규정안 변경예고(재공고)

금융위원회 고시 제 호

전자금융감독규정 일부개정규정안

전자금융감독규정 일부를 다음과 같이 개정한다.

제12조제1호 중 “단말기별 취급자 및 비밀번호를 지정하고 화면보호기능을 부여”를 “조치”로 하고, 같은 조 제2호부터 제4호까지를 각각 다음과 같이 한다.

• 2. 정보처리시스템에 접속하는 단말기에 대해 정당한 사용자인가의 여부를 확인할 수 있는 기록을 유지할 것
• 3. 외부 반출, 인터넷 접속, 그룹웨어 접속의 금지 등 강화된 보호대책이 적용되는 중요단말기를 지정할 것
• 4. 정보유출, 악성코드 감염 등을 방지할 수 있도록 단말기에서 보조기억매체 및 휴대용 전산장비에 접근하는 것을 통제할 것

제12조제5호를 삭제한다.

제15조제1항제5호 중 “분리할 것”을 “분리할 것(단, 업무 특성상 분리하기 어렵다고 금융감독원장이 인정하는 경우에는 분리하지 아니하여도 된다.)”으로 하고, 같은 조 제6항제3호 중 “지정”을 “금융회사 내부망에 연결된 정보처리 시스템이 지정”으로, “이외 무선통신망 접속”을 “이외의 무선통신망에 접속하는 것”으로, “차단시스템 구축 및”을 “차단시스템을 구축하고”로 한다.

제16조제1항제4호 중 “제12조제4호”를 “제12조제3호”로 한다.

제17조제1항제2호 중 “사용자계정을”을 “사용자계정은”으로, “불필요한 계정 또는 서비스번호(port)는 삭제할 것(다만, 사용자계정은 아이디 및 비밀번호 이외에 제37조에 따른 공인인증서등을 추가 인증수단으로 반드시 적용하여야 한다)”을 “아이디ㆍ비밀번호 이외에 추가 인증수단을 적용할 것”으로 하고, 같은 조 제4항 각 호 외의 부분 중 “않도록 다음 각 호에 대하여 적절하게”를 “않도록”으로 한다.

제34조제2항제3호를 삭제하고, 같은 항 제4호를 제3호로 하며, 같은 항에 제4호를 다음과 같이 신설한다.

• 4. 일회용 비밀번호 등 거래인증수단 채택시 안전성, 보안성, 이용편의성 등을 충분히 고려할 것

제34조제2항제5호를 삭제하고, 같은 항 제7호를 제5호로 하며, 같은 항 제6호를 삭제한다.

제36조제2항을 삭제하고, 같은 조 제3항 각 호 외의 부분 중 “제1항 및 제2항”을 “제1항”으로, “금융위원회 또는 금융감독원장”을 “금융감독원장”으로 하며, 같은 항에 제4호를 다음과 같이 신설한다.

• 4. 「공공기관의 운영에 관한 법률」 제4조에 따른 공공기관

제37조의5를 다음과 같이 신설한다.

제37조의5(정보보호최고책임자의 업무) 정보보호최고책임자는 보안점검의 날을 지정하고, 임직원이 금융감독원장이 정하는 정보보안 점검항목을 준수했는지 여부를 매월 점검하고, 그 점검 결과 및 보완 계획을 최고경영자에게 보고하여야 한다.

제60조제1항제1호 및 제7호를 각각 다음과 같이 한다.

• 1. 외부주문등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치ㆍ운영
• 7. 외부주문등의 입찰ㆍ계약ㆍ수행ㆍ완료 등 각 단계별로 금융감독원장이 정하는 보안관리방안을 따를 것

제60조제1항제9호 중 “제8조제1항제3호”를 “제8조제1항제2호”로 하고, 같은 항 제14호 중 “정기”를 “정기(금융감독원장이 정하는 중요 점검사항에 대해서는 매일)”로 하며, 같은 조에 제4항을 다음과 같이 신설한다.

④ 법 제40조제6항 단서에서 “금융위원회가 인정하는 경우”란 전자금융거래정보의 보호와 관련된 전산장비ㆍ소프트웨어에 대한 개발ㆍ운영 및 유지관리 업무를 재위탁하는 경우로서 다음 각 호의 사항을 준수하는 경우를 말한다.

• 1. 재수탁업자가 재위탁된 업무를 처리함에 있어 금융거래 정보의 변경이 필요한 경우에는 위탁회사 또는 원수탁업자의 개별적 지시에 따라야 하며, 위탁회사 또는 원수탁업자는 변경된 정보가 지시 내용에 부합하는지 여부를 확인하여야 함
• 2. 위탁업무와 관련된 이용자의 금융거래정보는 위탁회사의 전산실 내에 두어야 함. 다만, 재수탁업자가 이용자의 이용자 정보를 어떠한 경우에도 알지 못하도록 위탁회사 또는 원수탁업자가 금융거래정보를 처리하여 제공한 경우에는 위탁회사의 관리ㆍ통제 하에 재수탁회사 등 제3의 장소로 이전 가능함

제62조제1항에 단서를 다음과 같이 신설한다.

다만, 법 제2조제1호에 따른 전자금융업무를 하지 아니하는 금융회사는 그러하지 아니하다.

제73조제1항 각 호 외의 부분 중 “금융위원회 및 금융감독원장”을 “금융감독원장”으로 하고, 같은 조 제3항을 다음과 같이 하며, 같은 조에 제4항을 다음과 같이 신설한다.

③ 금융감독원장은 제1항에 따라 보고 받은 내용을 지체 없이 금융위원장에게 보고하여야 하며, 제1항제3호에 따른 사고 발생시에는 제37조의4제1항 각 호에 따른 침해사고대응기관에도 알려야 한다.

④ 제1항의 사고보고와 관련하여 사고보고 절차 및 방법 등 세부사항은 금융감독원장이 정하는 바에 따른다.

제75조의 제목 “(규제의 재검토)”를 “(규제의 존속기한 및 재검토)”로 하고, 같은 조 제목 외의 부분을 제1항으로 하며, 같은 조에 제2항을 다음과 같이 신설한다.

② 제8조제2항은 2020년 1월 1일까지 효력을 가진다.

별표1을 별지와 같이 한다.

부 칙

제1조(시행일) 이 규정은 고시한 날부터 시행한다. 다만, 37조의5조, 제60조 및 제73조의 개정규정은 2015년 4월 16일부터 시행한다.

[별표1]

정보기술부문 및 정보보호 인력 산정기준

• 1. 총임직원 및 외주인력

가. 총임직원 수는 금융회사등의 상시 종업원(「소득세법」에 따른 원천징수의무자가 근로소득세를 원천징수한 자를 기준으로 한다. 이하 같다)으로 하되, 1년 이상 장기휴직자와 외주(outsourcing)인력은 제외한다.

나. 외주인력이란 금융회사등과의 외부주문등에 따라 업무를 처리하는 업체에 소속된 자로서 다음 각 호의 기준에 따라 산정한다.

⑴ 금융회사등의 정보기술부문 업무 수행을 위한 정보화 기획, 전자금융기반시설 운영, 정보보안 등의 IT(Information Technology, 정보통신기술)업무 종사자를 포함한다.

⑵ 전자금융기반시설의 하드웨어 또는 소프트웨어 등의 유지보수를 수행하기 위한 제조사의 상시 운영 기술인력은 포함한다.

⑶ 정보시스템 개발 프로젝트를 수행하기 위하여 상주하는 외주업체의 IT업무 종사자는 제외한다.

⑷ 외주인력 중 월․주 단위 등 부정기적이거나 일시적인 인력은 제외한다.

⑸ 그 밖의 금융위원장이 외주인력에 포함 또는 제외하는 것이 필요하다고 인정한 인력은 해당인력을 외주인력에 포함시키거나 제외할 수 있다.

• 2. 정보기술부문 인력

정보기술부문 인력이란 다음 각 목에 해당되는 자를 말한다.

가. 금융회사의 총임직원 중 내부 규정에 따라 IT 기획·개발·운영·정보보호 등 정보기술부문의 업무를 처리하는 사람

나. 다음 각 호에 소속되어 IT업무를 담당하는 상시 종업원 중 해당 금융회사의 IT업무를 적법한 절차에 의해 수행하는 사람으로서, 이 규정 제60조제1항제13호에 의한 업무수행인력 관리방안에 따라 관리되고 있는 사람(이 경우, 해당 금융회사의 정보기술 인력 규모는 다음 각 호의 회사 또는 기관이 공동으로 위탁 받은 정보기술부문에 대한 운영비용 분담비율에 따라 산정한다)

⑴ 「금융지주회사법」 제2조제1항에 의한 자회사 또는 손자회사로써 금융업을 영위하는 회사에 대한 전산·정보처리 등의 용역을 제공하는 회사

⑵ 금융회사 또는 전자금융업자가 지분을 50%를 초과하여 소유하는 IT자회사 또는 IT손자회사로서 당해 금융회사 또는 전자금융업자에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사

⑶ 「독점규제 및 공정거래에 관한 법률」 제2조제2호에 의한 기업집단에 속하는 금융회사들 또는 전자금융업자들이 합하여 지분을 50%를 초과하여 소유하는 IT자회사 또는 IT손자회사로서 당해 금융회사들 또는 전자금융업자들에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사

⑷ ㈜코스콤, 상호저축은행중앙회, 신용협동조합중앙회, 농협중앙회, 수협중앙회, 산림조합중앙회, 새마을금고중앙회 등과 같이 회원사, 상호저축은행, 신용협동조합, 조합, 지역금고 등의 전자금융기반시설에 대한 운영을 공동수탁하는 기관

다. 나목을 제외한 외주인력 중 해당 금융회사 또는 전자금융업자의 IT업무를 적법한 절차에 의해 수행하는 사람으로서, 이 규정 제60조제1항제13호에 의한 업무수행인력 관리방안에 따라 관리되고 있는 사람 (다만, 다목의 인력은 가목의 인력 규모 내에서 정보기술부문 인력으로 인정한다).

• 3. 정보보호 인력

정보보호 인력이란 다음 각 목에 해당되는 자를 말한다.

가. 금융회사의 총임직원 중 내부 규정에 따라 정보보호 업무를 처리하는 사람

나. 다음 각 호에 소속되어 정보보호 업무를 담당하는 상시 종업원 중 해당 금융회사의 정보보호 업무를 적법한 절차에 의해 수행하는 사람으로서, 전자금융감독규정 제60조제1항제13호에 의한 업무수행인력 관리방안에 따라 관리되고 있는 사람(이 경우, 해당 금융회사의 정보보호 인력 규모는 다음 각 호의 회사 또는 기관이 공동으로 위탁 받은 정보보호 업무에 대한 운영비용 분담비율에 따라 산정한다)

⑴ 「금융지주회사법」 제2조제1항에 의한 자회사 또는 손자회사로써 금융업을 영위하는 회사에 대한 전산·정보처리 등의 용역을 제공하는 회사

⑵ 금융회사 또는 전자금융업자가 지분을 50%를 초과하여 소유하는 IT자회사 또는 IT손자회사로서 당해 금융회사 또는 전자금융업자에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사

⑶ 「독점규제 및 공정거래에 관한 법률」 제2조제2호에 의한 기업집단에 속하는 금융회사들 또는 전자금융업자들이 합하여 지분을 50%를 초과하여 소유하는 IT자회사 또는 IT손자회사로서 당해 금융회사들 또는 전자금융업자들에 대한 전산·정보처리 등의 용역 제공을 전업으로 하는 회사

⑷ ㈜코스콤, 상호저축은행중앙회, 신용협동조합중앙회, 농협중앙회, 수협중앙회, 산림조합중앙회, 새마을금고중앙회 등과 같이 회원사, 상호저축은행, 신용협동조합, 조합, 지역금고 등의 전자금융기반시설에 대한 운영을 공동수탁하는 기관

다. 나목을 제외한 외주인력 중 해당 금융회사 또는 전자금융업자의 정보보호 업무를 적법한 절차에 의해 수행하는 사람으로서, 이 규정 제60조제1항제13호에 의한 업무수행인력 관리방안에 따라 관리되고 있는 사람(다만, 다목의 인력은 가목의 인력 규모 내에서 정보보호 인력으로 인정한다).

신ㆍ구조문대비표

<표>