「전자금융감독규정」 규정변경예고

• 1 -

규제영향분석서

전자금융감독규정

<목차>1.클라우드서비스 이용범위 확대 및 절차 마련2.규제의 존속기한 및 재검토 조항 정비

• 2 -

<규제개요>기본정보1.규제사무명클라우드서비스이용범위확대및절차마련2.규제조문전자금융감독규정제14조의23.위임법령전자금융거래법제21조4.유형신설5.입법예고‘18.9.20~’18.10.30

규제의필요성

• 6.추진배경및정부개입필요성

금융분야디지털화에발맞추어클라우드규제를개선(이용범위확대)

금융권자율보안및관리체계를뒷받침하는클라우드이용절차를마련

핀테크혁신성장촉진을위한정부규제혁신중점과제로지정*‘18.1월,VIP주재규제혁파토론회7.규제내용클라우드이용범위를확대하되,안전성확보를위해금융회사또는전자금융업자가자체평가를거쳐클라우드서비스를이용하도록하고,중요정보의클라우드처리시위탁사항의주요내용을보고하도록함8.피규제집단및이해관계자

(피규제집단)금융회사,전자금융업자

(이해관계자)클라우드서비스제공업체9.규제목표클라우드이용범위확대로핀테크혁신성장을촉진하고,금융권자율보안수준및관리체계도강화규제의적정성10.영향평가여부기술영향평가중기영향평가경쟁영향평가해당없음해당없음해당없음11.비용편익분석(정성분석)해당없음

기타12.일몰설정여부3년마다재검토13.원칙허용·예외금지규제방식적용여부(자동입력)

• 3 -

<조문대비표>현행 개정안제14조의2(비중요정보처리시스템지정)①금융회사또는전자금융업자는자체적으로수립한정보자산중요도평가기준에따라전자금융거래의안전성및신뢰성에미치는영향이현저히낮은정보처리시스템을비중요정보처리시스템으로지정할수있다.다만,개인의고유식별정보또는「신용정보의이용및보호에관한법률」에따른개인신용정보를처리하는정보처리시스템은비중요정보처리시스템으로지정할수없다.

② 금융회사 또는 전자금융업자는 제1항에 따라 비중요 정보처리시스템 지정시 제8조의2에 따른 정보보호위원회의 심의ㆍ의결을 거쳐야 한다. ③ 금융회사 또는 전자금융업자는 제1항에 따라 비중요 정보처리시스템을 지정한 날로부터 7일 이내에.

제14조의2(클라우드컴퓨팅서비스이용절차등)①금융회사또는전자금융업자는「클라우드컴퓨팅발전및이용자보호에관한법률」제2조제3호에따른클라우드컴퓨팅서비스를이용하고자하는경우다음각호의절차를수행하여야한다.1.자체적으로수립한기준에따른이용대상정보처리시스템의중요도평가2.<별표2의2>의항목을포함한클라우드컴퓨팅서비스제공자의건전성및안전성등평가3.<별표2의3>에서정하는사항을반영한자체업무위수탁운영기준의마련및준수 ② ------------------------------ 따른 평가결과 및 자체 업무 위수탁 운영기준에 대하여 ---------------------------------. ③ 금융회사 또는 전자금융업자는 제1항제1호에 따라 다음 각 호의 어느 하나에 해당한다고 평가하는 경

• 4 -

현행 개정안금융감독원장이 정하는 양식에 따라 정보자산 중요도 평가기준, 지정 결과, 관리 방안 등을 포함한 보고서를 금융감독원에 제출하여야 한다.

<신 설>

우에는 클라우드컴퓨팅서비스를 실제로 이용하려는 날의 7영업일 이전에 금융감독원장이 정하는 양식에 따라 제4항 각 호의 서류를 첨부하여 금융감독원장에게 보고하여야 한다. 이 경우 「금융회사의 정보처리 업무 위탁에 관한 규정」 제7조제1항 및 제2항에 따라 보고한 것으로 본다.1.고유식별정보또는개인신용정보를처리하는경우2.전자금융거래의안전성및신뢰성에중대한영향을미치는경우 ④ 제3항에 따라 금융감독원장에게 보고할 경우 첨부해야 하는 서류는 다음 각 호와 같다.1.「금융회사의정보처리업무위탁에관한규정」제7조제1항각호에관한서류2.제1항제1호에따른자체중요도평가기준및결과3.클라우드컴퓨팅서비스이용관련업무연속성계획및안전성확보조치에관한사항4.제2항에따른정보보호위원회심의ㆍ의결결과.

• 5 -

현행 개정안 <신 설>

<신 설>

④ 금융감독원장은 제3항에 따라 제출한 보고서를 검토한 결과, 평

⑤ 클라우드컴퓨팅서비스를 이용하는 금융회사 또는 전자금융업자는 제3항에 따른 보고의무와 관계없이 제4항 각호에 따른 서류를 최신상태로 유지하여야 하며, 금융감독원장의 요청이 있을 경우 이를 지체 없이 제공하여야 한다. ⑥ 금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 변경사항이 발생한 날로부터 7영업일 이내에 발생 사유, 관련 자료 및 대응계획을 첨부하여 금융감독원장에게 보고하여야 한다.1.클라우드컴퓨팅서비스제공자의합병,분할,계약상지위의양도,재위탁등의사유로클라우드컴퓨팅서비스이용계약에중대한변경사항이발생한경우2.클라우드컴퓨팅서비스제공자가서비스품질의유지,안전성확보등과관련한중요계약사항을이행하지아니한경우3.제4항제2호또는제3호에관한중대한변경사항이발생한경우 ⑦ ----------- 제3항 또는 제6항--- 보고 서류가 누락되거나, 중요.

• 6 -

현행 개정안가 기준, 지정 결과, 관리 방안 등이 적합하지 않다고 판단되는 경우에는 금융회사 또는 전자금융업자에 대하여 개선ㆍ보완을 요구할 수 있다. ⑤ 제1항의 비중요 정보처리시스템만 위치한 전산실에 대해서는 제11조제11호 및 제12호, 제15조제1항제5호를 적용하지 아니한다.

<단서 신설>.

<신 설>

도 평가 또는 업무연속성계획․안전성 확보조치 등이 충분하지 않다고 판단하는 ------------------ 개선·보완---------------. ⑧ 제2항의 절차를 거친 클라우드컴퓨팅서비스 제공자의 정보처리시스템이 -----------------------------------------. 다만, 금융회사 또는 전자금융업자(전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치지 않는 외국금융회사의 국내지점, 제50조의2에 따른 국외 사이버몰을 위한 전자지급결제대행업자는 제외한다)가 제3항제1호에 따른 고유식별정보 또는 개인신용정보를 클라우드컴퓨팅서비스를 통하여 처리하는 경우에는 제11조제12호를 적용하고, 해당 정보처리시스템을 국내에 설치하여야 한다. ⑨ 그 밖에 금융회사 또는 전자금융업자의 클라우드컴퓨팅서비스 이용에 대해서는 「금융회사의 정보처리 업무 위탁에 관한 규정」에 따른다.

• 1 -

Ⅰ.규제의필요성및대안선택1.추진배경및정부개입필요성ㅇ최근인공지능(AI)․빅데이터등新기술과금융접목확대로금융권클라우드*활용과관련한규제정비필요성이증가*IT서비스를빌려서이용하고,이용량에따라비용을지불하므로비용절감(30%)이가능 -은행․카드,핀테크기업등각업권에서클라우드규제완화건의가지속적으로제기되어왔고,관계기관․전문가의의견을수렴 -그간의금융권클라우드활용경험을바탕으로클라우드이용범위를확대하고,금융권자율보안수준및관리․감독체계를보완ㅇ‘중요정보’도클라우드를이용할수있도록하고,안전성을확보하기위해금융권자율보안․관리체계를마련하여운영할필요 -금융회사․핀테크기업이안정적으로클라우드를활용할수있도록이용절차및기준제시필요*클라우드는아웃소싱의하나로제공자가직접적감독대상이아니기에해외의경우금융회사로하여금클라우드활용에따른위험을식별․관리하도록함2.규제대안검토및선택①대안의내용및선택근거< 현행유지안: 비중요정보처리시스템지정․활용>ㅇ‘비중요정보처리시스템’에한해지정절차를거쳐‘금융권클라우드이용가이드’상보호조치를준수하고클라우드이용이가능 -금융회사등은정보자산의중요도에따라‘비중요정보처리시스템’지정이가능하며,해당시스템에대해서는물리적망분리등클라우드이용이제한되는규정이적용되지않음 -금융보안사고부작용방지를위해개인신용정보등을제외하여,국내는클라우드활용분야가제한적(내부업무처리,부가서비스등에만활용)

• 2 -

< 비규제대안: 해당없음>ㅇ금융권클라우드이용범위확대시금융보안의중요성,지정학적특수성을고려해사이버리스크에대비한보안체계가필수적 -경제적이익을목표로한사이버침해공격이빈발하고있음 *‘11년3.4디도스공격,’13년3.20사이버테러,‘17년ATM이용자정보유출등 -방대한정보를보유하고있는금융분야는유출시피해규모등파급효과가큰점을감안하여클라우드이용시최소한의내부통제절차구비필요< 규제대안: 클라우드이용절차등마련 >ㅇ기존비중요정보처리시스템지정개념을삭제하고클라우드이용범위를제한없이확대 -클라우드이용전금융회사가정보자산의중요도,클라우드서비스안전성을평가하는절차를통해자율규제․보고체계를마련

②이해관계자의견수렴이해관계자명주요 내용조치결과금융회사, 핀테크기업- 핀테크 활성화 릴레이 간담회(4.11)- 금융 클라우드 간담회(4.17), 테크자문단 회의(6.12)- 금융권 클라우드 제도개선 T/F 회의(7월~)- 금융권 클라우드 규제개선 간담회(9.11)금융권클라우드 이용범위 확대, 이용절차 마련클라우드서비스제공자- 금융 클라우드 간담회(4.17), 테크자문단 회의(6.12)- 금융권 클라우드 제도개선 T/F 회의(7월~)- 금융권 클라우드 규제개선 간담회(9.11)

⇒ (대안의선택근거)클라우드서비스이용범위를확대하고,금융보안의중대성을고려해클라우드서비스이용절차를수립․운영 -클라우드이용범위에대한제한을없애고,위험식별․관리등금융권클라우드사용에특화된내용을금융회사가내부통제절차에따라관리․감독하도록하여금융사고는예방할필요 *금융회사․핀테크기업,클라우드서비스제공자입장에서현행유지안보다적합하고,내부통제절차마련으로보안성도확보

• 3 -
• 3.규제목표

Ⅱ.규제의적정성1.목적

수단간비례적타당성ㅇ(규제목적)금융권클라우드안전이용절차를마련함으로써보안사고발생을사전예방하고,금융․신기술융합을촉진ㅇ(규제수단)사이버리스크확대에따른금융사고사후처리비용을감안하였을때,클라우드활용(아웃소싱)확대로발생가능한위험을사전식별․관리하는안전이용절차를마련함이합리적 -규제목적달성을위해클라우드이용확대로인한사고발생을방지하기위한최소한의내부통제절차수행을요건으로규정2.영향평가필요성등고려사항영향평가시장유인적규제설계일몰설정여부원칙허용·예외금지기술경쟁중기해당없음해당없음해당없음해당없음3년마다재검토해당없음o영향평가

• 금융회사․핀테크기업들이특별한제약없이클라우드를활용해적은비용으로쉽게개발할수있는여건을마련ㅇ보안성을확보한클라우드를이용해핀테크기업은초기시스템구축․관리비용부담을덜고,핀테크서비스안전성은향상ㅇ금융권은클라우드플랫폼을이용해서빅데이터, 인공지능 기술을 보다안전하고자유롭게테스트하고혁신적인서비스를출시⇒ 클라우드이용범위확대로핀테크혁신성장을촉진하고, 금융권 자율보안수준및관리체계도강화
• 4 -
• 기술규제영향평가 해당없음-경쟁영향평가 해당없음-중기영향평가 차등화적용대상이아님(규제완화사항으로추가규제비용부담없음)o기타고려사항-시장유인적규제설계 해당없음-국제기준정합성 해당없음-일몰설정여부 매3년마다재검토-원칙허용·예외금지규제방식(네거티브규제)적용여부 해당없음3.해외및유사입법사례o해외사례 -해외주요국들은금융회사가클라우드활용에따른위험을식별및관리하고, 클라우드이용과관련한세부사항을보고하도록함 -또한,클라우드이용계약체결시클라우드제공업체,보안및감독관련내용을계약서에명시적으로포함하도록요구
• 5 -

국가명지침명및내용제정기관제정(발효)시기EU클라우드제공자업무위탁에관한권고-중요업무위탁시클라우드제공자,서비스국가,저장위치등을관할당국에통보-금융회사,위임된제3자에게위탁업무와관련접근권및현장감사권부여등계약명시은행청(EBA)‘18.7월발효영국클라우드및제3자IT아웃소싱관련지침-중요업무위탁시문서화된근거필요-클라우드제공자사업장관할지에따라영국법률규율여부확인(감사및규제권한보장)금융감독청(FCA)‘16.7월제정

미국아웃소싱클라우드컴퓨팅-소비자데이터가국외에서저장또는처리될경우해당국가관련규정확인-프라이버시법규관련책임,보안사고에대한보고의무등법적의무계약명시검사협의회(FFIEC)‘12.7월제정싱가포르아웃소싱가이드라인-클라우드제공자실사및위험관리수행-금융회사의클라우드제공자관리·감독책임통화국(MAS)‘16.7월제정o타법사례 -전자금융거래안전성확보를위한 고유특성에따라필요한 규제로타법에서는해당사항없음

Ⅲ.규제의실효성1.규제의순응도o피규제자준수가능성 -기존에도금융회사등은 ‘비중요정보처리시스템지정’이라는내부통제절차를통해클라우드를이용하고있었으므로규제준수에특별한어려움은없을것으로예상 -또한,클라우드이용범위를기존에비해확대하고,내부통제절차수행시참고하기위한가이드라인을마련할예정

• 6 -

o규제차등화방안 -해당없음2.규제의집행가능성o행정적집행가능성 -현재도관리․감독중인금융회사․전자금융업자의 클라우드이용관련사항을정비하는것으로, 별도인력․조직이소요되지않음o재정적집행가능성 -해당없음

Ⅳ.추진계획및종합결론1.추진경과ㅇ클라우드규제개선관련관계기관․전문가의견수렴(4월,6월)*핀테크활성화릴레이간담회(4.11),금융분야클라우드간담회(4.17),테크자문단회의(6.12)ㅇ금융권클라우드제도개선TF*구성․운영(7월~)*금융위,금감원,금융보안원,업권별금융회사,핀테크기업,전문가등ㅇ금융회사,클라우드사업자등이해관계자의견수렴간담회(9.11)2.향후평가계획ㅇ금융권클라우드이용범위확대에따른성과,안전성등을평가하여보완방안을검토3.종합결론ㅇ지난2년간금융권클라우드활용경험, 클라우드를이용한기술․금융의융합가속화현상등을고려해클라우드이용확대를추진*혁신성장촉진을위한정부규제혁신중점과제중하나로지정(‘18.1월,VIP주재규제혁파토론회)ㅇ클라우드이용확대와병행해금융권자율보안수준․관리체계를강화하도록유도해보안우려를해소

• 7 -

<규제개요>기본정보1.규제사무명규제의존속기한및재검토조항정비2.규제조문전자금융감독규정제75조3.위임법령전자금융거래법제21조4.유형신설5.입법예고‘18.9.20~’18.10.30

규제의필요성

• 6.추진배경및정부개입필요성

클라우드이용범위확대를위한규제개선을추진함에따라전자금융감독규정의일몰재검토조항을통일성있게재정비7.규제내용금융권클라우드이용범위확대를위해비중요정보처리시스템지정에관한조문의내용을삭제함에따라이와관련한일몰재검토조항(제75조제1항단서)도삭제․변경8.피규제집단및이해관계자

(피규제집단)금융회사,전자금융업자

(이해관계자)클라우드서비스제공업체9.규제목표전자금융감독규정의규제의존속기한및재검토조항을통일성있게정비규제의적정성10.영향평가여부기술영향평가중기영향평가경쟁영향평가해당없음해당없음해당없음11.비용편익분석(정성분석)해당없음

기타12.일몰설정여부해당없음13.원칙허용·예외금지규제방식적용여부(자동입력)

• 8 -

<조문대비표>현행 개정안제75조(규제의존속기한및재검토)①금융위원회는행정규제기본법제8조ㆍ제19조의2및훈령ㆍ예규등의발령및관리에관한규정(대통령훈령제248호)에따라이고시에대하여2014년1월1일을기준으로매3년이되는시점(매3년째의12월31일까지를말한다)마다그타당성을검토하여개선등의조치를하여야한다.다만,제14조의2제1항에대하여는2017년1월1일을기준으로매2년이되는시점(매2년째의12월31일까지를말한다)마다그타당성을검토하여개선등의조치를하여야한다.

제75조(규제의존속기한및재검토)①---------------------------------------------------------------------------------------------------------------2019년1월1일---------------------------------------------------------------------------------------------------.

<단서삭제>

• 9 -

Ⅰ.규제의필요성및대안선택1.추진배경및정부개입필요성ㅇ금융권클라우드이용범위확대를위해비중요정보처리시스템지정에관한조문의내용(제14조의2제1항)을삭제하는개정을추진함에따라이와관련한일몰조항(제75조제1항단서)도삭제․변경2.규제대안검토및선택①대안의내용및선택근거< 현행유지안: 비중요정보처리시스템지정․활용>ㅇ‘비중요정보처리시스템’에한해지정절차를거쳐‘금융권클라우드이용가이드’상보호조치를준수하고클라우드이용이가능 -금융회사등은정보자산의중요도에따라‘비중요정보처리시스템’지정이가능하며,해당시스템에대해서는물리적망분리등클라우드이용이제한되는규정이적용되지않음 -금융보안사고부작용방지를위해개인신용정보등을제외하여,국내는클라우드활용분야가제한적(내부업무처리,부가서비스등에만활용) -금융권클라우드이용범위확대전조치로규제의재검토기한을본문(전자금융감독규정에대하여3년마다재검토)과다르게2년으로정하였음 ⇒‘비중요정보처리시스템지정’을삭제하는내용의개정추진시제75조제1항의단서조항또한삭제․변경될필요가있음< 규제대안: 클라우드이용절차등마련 >ㅇ기존비중요정보처리시스템지정개념을삭제하고클라우드이용범위를제한없이확대 -제14조의2제1항의내용변경및삭제를추진함에따라이에대한규제재검토기한을정한제75조제1항단서도삭제 -제75조제1항본문에따라전자금융감독규정전체에대하여통일성있게규제의재검토기한을정하도록함(매3년마다재검토)

• 10 -

⇒(선택근거)금융권클라우드서비스이용범위를확대하고,전자금융감독규정상규제의재검토기한을통일성있게정비 -클라우드이용범위확대로‘비중요정보처리시스템지정’을삭제하는내용의개정을추진함에따라제75조제1항단서조항또한삭제․변경될필요②이해관계자의견수렴

• 3.규제목표

Ⅱ.규제의적정성1.목적

수단간비례적타당성ㅇ(규제목적)금융권클라우드안전이용절차를마련함으로써보안사고발생을사전예방하고,금융․신기술융합을촉진ㅇ(규제수단)규제목적달성을위해클라우드이용확대로인한사고발생을방지하기위한최소한의내부통제절차수행을요건으로규정하고, 규제의재검토기한을통일성있게정비2.영향평가필요성등고려사항영향평가시장유인적규제설계일몰설정여부원칙허용·예외금지기술경쟁중기해당없음해당없음해당없음해당없음해당없음해당없음

• 금융회사․핀테크기업들이특별한제약없이클라우드를활용해적은비용으로쉽게개발할수있는여건을마련하고,전자금융감독규정상의규제의재검토기한은통일성있게정비

이해관계자명주요 내용조치결과금융회사, 핀테크기업- 핀테크 활성화 릴레이 간담회(4.11)- 금융 클라우드 간담회(4.17), 테크자문단 회의(6.12)- 금융권 클라우드 제도개선 T/F 회의(7월~)- 금융권 클라우드 규제개선 간담회(9.11)금융권클라우드 이용범위 확대, 이용절차 마련클라우드서비스제공자- 금융 클라우드 간담회(4.17), 테크자문단 회의(6.12)- 금융권 클라우드 제도개선 T/F 회의(7월~)- 금융권 클라우드 규제개선 간담회(9.11)

• 11 -

o영향평가-기술규제영향평가 해당없음-경쟁영향평가 해당없음-중기영향평가 해당없음o기타고려사항-시장유인적규제설계 해당없음-국제기준정합성 해당없음-일몰설정여부 매3년마다재검토-원칙허용·예외금지규제방식(네거티브규제)적용여부 해당없음3.해외및유사입법사례o해외사례해당없음o타법사례해당없음

• 12 -

Ⅲ.규제의실효성1.규제의순응도o피규제자준수가능성 -기존에도금융회사등은 ‘비중요정보처리시스템지정’이라는내부통제절차를통해클라우드를이용하고있었으므로규제준수에특별한어려움이없음 -또한,클라우드이용범위를기존에비해확대하고,내부통제절차수행시참고하기위한가이드라인을마련할예정o규제차등화방안 -해당없음2.규제의집행가능성o행정적집행가능성 -현재도관리․감독중인금융회사․전자금융업자의 클라우드이용관련사항을정비하는것으로, 별도인력․조직이소요되지않음o재정적집행가능성 -해당없음

Ⅳ.추진계획및종합결론1.추진경과ㅇ클라우드규제개선관련관계기관․전문가의견수렴(4월,6월)*핀테크활성화릴레이간담회(4.11),금융분야클라우드간담회(4.17),테크자문단회의(6.12)ㅇ금융권클라우드제도개선TF*구성․운영(7월~)*금융위,금감원,금융보안원,업권별금융회사,핀테크기업,전문가등ㅇ금융회사,클라우드사업자등이해관계자의견수렴간담회(9.11)

• 13 -
• 2.향후평가계획ㅇ금융권클라우드이용범위확대에따른성과,안전성등을평가하여보완방안을검토3.종합결론ㅇ지난2년간금융권클라우드활용경험, 클라우드를이용한기술․금융의융합가속화현상등을고려해클라우드이용확대를추진*혁신성장촉진을위한정부규제혁신중점과제중하나로지정(‘18.1월,VIP주재규제혁파토론회)ㅇ클라우드이용확대를위한규제완화를추진함에따라이와관련한 규제의재검토기한도통일성있게정비