전자금융감독규정 규정변경예고

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

◎금융위원회공고제2016-206호「전자금융감독규정」을일부개정함에있어개정이유와주요내용을국민에게미리알려,이에대한의견을듣고자행정절차법제41조에따라다음과같이「전자금융감독규정일부개정규정안」을공고합니다. 2016년6월30일금융위원회「전자금융감독규정일부개정규정안」규정변경예고1.개정이유클라우드등새로운IT기술확산및핀테크산업발전등변화된현실에맞게관련규제를합리적으로개선하고그밖의일부제도개선사항등을규정에반영하고자하는것임2.주요내용가.금융권의클라우드이용활성화를위해금융회사등이고객정보처리시스템을제외한전산시스템중일부를클라우드를활용하는시스템으로자율적으로지정할수있도록하고,.

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

지정된시스템에대해서는물리적망분리등클라우드활용을불가능하게하는규제적용제외(안제7조의2)나.전용회선을사용한정보보호시스템의원격관리허용등기존과동등한수준의새로운보안기술적용을허용(안제15조,제60조)다.전자금융사고발생시피해자에게적절한수준의보상이이루어질수있도록,카드정보저장전자금융업자의책임보험가입기준금액등을상향(안제5조)라.전자금융사고발생시피해보상이신속하게이루어질수있도록,금융회사등이적립하는준비금의관리․지급관련절차마련을의무화(안제5조)마.대규모고정자산을보유한겸업전자금융업자등에게과도한규제로작용해온현행안전자산보유기준*을“총자산대비10%의안전자산보유”또는“미정산잔액대비100%의안전자산보유“로개선(안제63조)*“총자산대비10%의안전자산보유”만기준으로규정바.금융권통합보안관제센터운영등금융권사이버보안강화를위한침해사고대응기관의역할명확화(안제37조)

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

• 3.의견제출이법률개정안에대하여의견이있는단체또는개인은2016년8월9일까지다음사항을기재한의견서를금융위원회(참조:전자금융과,전화:02-2100-2975,팩스:02-2100-2946,이메일:crisis@korea.kr)로제출하여주시기바랍니다.가.입법예고사항에대한의견(찬성또는반대의견과그사유및기타참고사항)나.성명(단체의경우단체명과대표자명),주소및전화번호다.보내실곳:금융위원회전자금융과(주소:03171서울특별시종로구세종대로209정부서울청사)

자세한사항은금융위원회홈페이지(www.fsc.go.kr/법령정보/규정변경예고)를참고하시기바랍니다.

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

금융위원회고시제호전자금융감독규정일부개정규정안전자금융감독규정일부를다음과같이개정한다.제5조제1항제6호를제7호로하고,같은항에제6호를다음과같이신설한다.6.법제28조제2항제4호의전자금융업자중제1호또는제2호에속하는금융회사가발급한신용카드,직불카드등거래지시에사용되는접근매체의정보를저장하는전자금융업자:10억원제5조제1항제7호(종전의제6호)중“제5호”를“제5호,제6호”로하고,같은조제2항중“보유하여야”를“보유하고책임이행이신속히이루어질수있도록준비금관리및지급에관한내부절차를수립하여운영하여야”로한다.제3장제1절에제7조의2를다음과같이신설한다.제7조의2(비중요정보처리시스템지정)①금융회사또는전자금융업자는자체적으로수립한정보자산중요도평가기준에따라전자금융거래의안전성및신뢰성에미치는영향이현저히낮은정보처리시스템을비중요정보처리시스템으로지정할수있다.다만,개인의고유식별정보또는「신용정보의이용및보호에관한법률」에따른개인신용정보를처리하는정보처리시스템은비중요정보처리시스템으로지정할수없다.

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

②금융회사또는전자금융업자는제1항에따라비중요정보처리시스템지정시제8조의2에따른정보보호위원회의심의ㆍ의결을거쳐야한다.③금융회사또는전자금융업자는제1항에따라비중요정보처리시스템을지정한날로부터7일이내에금융감독원장이정하는양식에따라정보자산중요도평가기준,지정결과,관리방안등을포함한보고서를금융감독원에제출하여야한다.④금융감독원장은제3항에따라제출한보고서를검토한결과,평가기준,지정결과,관리방안등이적합하지않다고판단되는경우에는금융회사또는전자금융업자에대하여개선ㆍ보완을요구할수있다.⑤제1항의비중요정보처리시스템만위치한전산실에대해서는제11조제11호및제12호,제15조제1항제5호를적용하지아니한다.제8조제3항에단서를다음과같이신설한다.다만,허가,등록또는인가를마친후1년이지나지않은금융회사또는전자금융업자는공시하지아니할수있다.제13조제1항제10호중“부하테스트등”을“법인인이용자정보는금융감독원장이정하는바에따라이용자의동의를얻은경우사용가능하며,그외부하테스트등이용자정보의”로한다.제15조제2항제4호를다음과같이한다.4.정보보호시스템원격관리금지.다만,원격관리가불가피한경우전용회선(또는전용회선과동등한보안수준을갖춘가상의전용회선)사용,접근통제등을포함한원격접속보안대책을수립ㆍ운영할것

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

제15조제2항제5호를제6호로하고,같은항에제5호를다음과같이신설한다.5.정보보호시스템의작동상태를주기적으로점검할것제23조제1항각호외의부분중“수립하여야”를“수립ㆍ준수하여야”로하고,같은조제4항중“수립”을“수립ㆍ준수”로하며,같은조제5항중“수립하여야”를“수립ㆍ운영하여야”로한다.제37조의4제2항에제4호를다음과같이신설한다.4.금융회사및전자금융업자와관련된해킹등전자적침해행위정보를탐지ㆍ분석하여즉시대응조치를하기위한기구(이하"금융권통합보안관제센터"라한다)의운영제37조의4제4항중“제3항”을“제2항에따른침해사고긴급대응을위한침해사고대응기관의업무수행또는제3항”으로하고,같은조제5항각호외의부분전단중“결과”를“계획및결과”로하며,같은조에제7항을다음과같이신설한다.⑦금융위원장은침해사고대응기관의장으로하여금시행령제11조의6제1항제4호에따른보안취약점통보를위하여금융회사및전자금융업자가사용하고있는소프트웨어에대한조사ㆍ분석을실시하게할수있다.제60조제1항제5호중“전용회선”을“전용회선(또는전용회선과동등한보안수준을갖춘가상의전용회선)”으로한다.제63조제1항제4호본문중“유지”를“유지하거나미상환잔액대비투자위험성이낮은자산의비율을100분의100이상으로유지”로한다.

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

부칙제1조(시행일)이규정은고시한날부터시행한다.다만,제5조제1항제6호및제5조제2항의개정규정은이규정고시후6개월이경과한날부터시행한다.제2조(인력,조직및예산기준미준수공시에관한적용례)제8조제3항의개정규정은이규정시행전에허가,등록또는인가를마친금융회사또는전자금융업자에대하여도적용한다.

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

현행개정안제5조(전자금융사고책임이행을위한보험등의가입에관한기준)①금융회사또는전자금융업자가법제9조제4항에따라전자금융사고책임이행을위한보험또는공제에가입하는경우보상한도는다음각호에서정하는금액이상이어야한다.

제5조(전자금융사고책임이행을위한보험등의가입에관한기준)①----------------------------------------------------------------------------------------------------------------------------------------.1.∼5.(생략) 1.∼5.(현행과같음)

<신설> 6.법제28조제2항제4호의전자금융업자중제1호또는제2호에속하는금융회사가발급한신용카드,직불카드등거래지시에사용되는접근매체의정보를저장하는전자금융업자:10억원6.제5호이외의전자금융업자:1억원7.제5호,제6호------------------②금융회사또는전자금융업자가전자금융사고책임이행을위한준비금을적립하는경우에는제1항각호에서정한금액이상의금액을보유하여야한다.

②--------------------------------------------------------------------------------------------------------보유하고책임이행이신속히이루어질수있도록준비금관리및지급에관한

신ㆍ구조문대비표

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

내부절차를수립하여운영하여야--.③ㆍ④(생략) ③ㆍ④(현행과같음)

<신설> 제7조의2(비중요정보처리시스템지정)①금융회사또는전자금융업자는자체적으로수립한정보자산중요도평가기준에따라전자금융거래의안전성및신뢰성에미치는영향이현저히낮은정보처리시스템을비중요정보처리시스템으로지정할수있다.다만,개인의고유식별정보또는「신용정보의이용및보호에관한법률」에따른개인신용정보를처리하는정보처리시스템은비중요정보처리시스템으로지정할수없다.②금융회사또는전자금융업자는제1항에따라비중요정보처리시스템지정시제8조의2에따른정보보호위원회의심의ㆍ의결을거쳐야한다.③금융회사또는전자금융업자는제1항에따라비중요정보처리시스템을지정한날로부터7일이내에금융감독원장이정하는양식에따라정보자산중요

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

도평가기준,지정결과,관리방안등을포함한보고서를금융감독원에제출하여야한다.④금융감독원장은제3항에따라제출한보고서를검토한결과,평가기준,지정결과,관리방안등이적합하지않다고판단되는경우에는금융회사또는전자금융업자에대하여개선ㆍ보완을요구할수있다.⑤제1항의비중요정보처리시스템만위치한전산실에대해서는제11조제11호및제12호,제15조제1항제5호를적용하지아니한다.제8조(인력,조직및예산)①ㆍ②(생략) 제8조(인력,조직및예산)①ㆍ②(현행과같음)③제2항각호의사항을이행하지못하는금융회사또는전자금융업자는그사유및이용자보호에미치는영향등을설명한자료를해당금융회사또는전자금융업자가운영하는홈페이지등을통해매사업연도종료후1개월이내에공시하여야한다.

<단서신설>

③-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------.다만,허가,등록또는인가를마친후1년이지나지않은

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

금융회사또는전자금융업자는공시하지아니할수있다.④(생략) ④(현행과같음)제13조(전산자료보호대책)①금융회사또는전자금융업자는전산자료의유출,파괴등을방지하기위하여다음각호를포함한전산자료보호대책을수립ㆍ운용하여야한다.

제13조(전산자료보호대책)①---------------------------------------------------------------------------------------------------------------.1.∼9.(생략) 1.∼9.(현행과같음)10.이용자정보의조회ㆍ출력에대한통제를하고테스트시이용자정보사용금지(다만,부하테스트등사용이불가피한경우이용자정보를변환하여사용하고테스트종료즉시삭제하여야한다)

• 10.-------------------------------------------------------------------법인인이용자정보는금융감독원장이정하는바에따라이용자의동의를얻은경우사용가능하며,그외부하테스트등이용자정보의--11.∼14.(생략)11.∼14.(현행과같음)②∼⑤(생략)②∼⑤(현행과같음)제15조(해킹등방지대책)①(생략) 제15조(해킹등방지대책)①(현행과같음)②제1항제1호의규정에따른정보보호시스템을설치ㆍ운영하는경우에는다음각호의사항을준수하여야한다.②--------------------------------------------------------------------------------------.1.∼3.(생략) 1.∼3.(현행과같음)

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

• 4.정보보호시스템의원격관리를금지하고주기적으로작동상태를점검할것4.정보보호시스템원격관리금지.다만,원격관리가불가피한경우전용회선(또는전용회선과동등한보안수준을갖춘가상의전용회선)사용,접근통제등을포함한원격접속보안대책을수립ㆍ운영할것

<신설> 5.정보보호시스템의작동상태를주기적으로점검할것5.(생략) 6.(현행제5호와같음)③∼⑥(생략)③∼⑥(현행과같음)제23조(비상대책등의수립ㆍ운용)①금융회사또는전자금융업자는장애ㆍ재해ㆍ파업ㆍ테러등긴급한상황이발생하더라도업무가중단되지않도록다음각호의내용을포함한업무지속성확보방안을수립하여야한다.

제23조(비상대책등의수립ㆍ운용)①--------------------------------------------------------------------------------------------------------------------------------수립ㆍ준수하여야--.1.∼7.(생략) 1.∼7.(현행과같음)②ㆍ③(생략) ②ㆍ③(현행과같음)④「국가위기관리기본지침」에따라금융위원회가지정한금융회사는금융위원회의「금융전산분야위기대응실무매뉴얼」에따라위기대응행동매뉴

④----------------------------------------------------------------------------------------------------------------------

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

얼(이하"행동매뉴얼"이라한다)을수립하고이를금융위원회에알려야한다. -----------------------수립ㆍ준수------------------------.⑤금융위원회가별도로지정하지아니한금융회사또는전자금융업자는자연재해,인적재해,기술적재해,전자적침해등으로인한전산시스템의마비방지와신속한복구를위한비상대책을수립하여야한다.

⑤---------------------------------------------------------------------------------------------------------------------------------------------------수립ㆍ운영하여야--.⑥∼⑩(생략)⑥∼⑩(현행과같음)제37조의4(침해사고대응기관지정및업무범위등)①(생략)제37조의4(침해사고대응기관지정및업무범위등)①(현행과같음)②침해사고대응기관은다음각호의업무를수행한다.②-----------------------------------------.1.∼3.(생략) 1.∼3.(현행과같음)

<신설> 4.금융회사및전자금융업자와관련된해킹등전자적침해행위정보를탐지ㆍ분석하여즉시대응조치를하기위한기구(이하"금융권통합보안관제센터"라한다)의운영③(생략) ③(현행과같음)④금융위원장은제3항에따른침해사고원인분석및긴급조치를위하여금융회사및전자금④------------제2항에따른침해사고긴급대응을위한침해사고대응기관의업무수행

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

융업자,전자금융보조업자에협조를요청할수있다. 또는제3항----------------------------------.⑤금융회사및전자금융업자는침해사고에대한대응능력확보를위하여연1회이상침해사고대응및복구훈련계획을수립ㆍ시행하여야하며그결과를침해사고대응기관의장에게제출하여야한다.다만다음각호의어느하나에해당하는금융회사는그러하지아니한다.

⑤-----------------------------------------------------------------------------------------------------------------계획및결과-------------------------------.--------------------------------------------------------.1.∼4.(생략) 1.∼4.(현행과같음)⑥(생략) ⑥(현행과같음)

<신설> ⑦금융위원장은침해사고대응기관의장으로하여금시행령제11조의6제1항제4호에따른보안취약점통보를위하여금융회사및전자금융업자가사용하고있는소프트웨어에대한조사ㆍ분석을실시하게할수있다.제60조(외부주문등에대한기준)①금융회사또는전자금융업자는전자금융거래를위한외부주문등의경우에는다음각호의사항을준수하여야한다.

제60조(외부주문등에대한기준)①-----------------------------------------------------------------------------------------.1.∼4.(생략) 1.∼4.(현행과같음)

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.

INSIDabcdef_:MS_0001MS_0001

INSIDabcdef_:MS_0001MS_0001

• 5.금융회사와전자금융보조업자간의접속은전용회선을사용5.----------------------------------전용회선(또는전용회선과동등한보안수준을갖춘가상의전용회선)--6.∼14.(생략)6.∼14.(현행과같음)②∼④(생략)②∼④(현행과같음)제63조(전자금융업자경영지도기준)①법제42조제2항에따른구체적인경영지도기준은다음과같다. 제63조(전자금융업자경영지도기준)①-------------------------------------------------.1.∼3.(생략) 1.∼3.(현행과같음)4.총자산대비투자위험성이낮은자산의비율은100분의10이상으로유지할것.단,법제28조제1항의규정에따라허가를받은전자금융업자및법제28조제2항제3호의규정에따라등록을한전자금융업자는제외한다.이때투자위험성이낮은자산은<별표6>와같다.
• 4.-------------------------------------------------------유지하거나미상환잔액대비투자위험성이낮은자산의비율을100분의100이상으로유지--.------------------------------------------.---------------------------------------.5.(생략) 5.(현행과같음)②ㆍ③(생략) ②ㆍ③(현행과같음)

2080745 / 2016-06-30 10:34 문 서 보 안 을 생 활 화 합 시 다.