전자금융감독규정 일부개정고시안 규정변경예고

• 1. 개정이유

‘24.8.13일 발표한 「금융분야 망분리 개선 로드맵」에 따라 금융회사 등이 연구·개발 목적으로 망분리 규제 예외 적용시 가명처리된 개인신용정보 활용을 허용하고, 클라우드컴퓨팅서비스 이용을 위한 위수탁 계약시 기본 포함사항을 간소화하고자 함.

• 2. 주요내용

가. 연구·개발 목적으로 망분리 규제 예외 적용시 가명처리된 개인신용정보 활용을 허용(안 제15조제1항제3호 및 제5호)

나. 클라우드컴퓨팅서비스 위수탁 계약서 주요 기재사항 중 기본포함 사항 간소화(안 별표2의5)

• 2. 참고사항

가. 관계법령 : 해당사항 없음

나. 예산조치 : 별도조치 필요 없음

다. 합 의 : 해당기관 없음.

라. 기 타 : 신․구조문대비표, 별첨

금융위원회고시 제 호

전자금융감독규정 일부개정고시안

전자금융감독규정 일부를 다음과 같이 개정한다.

제15조제1항제3호가목 및 같은 항 제5호가목 중 “개인신용정보”를 각각 “개인신용정보(「신용정보의 이용 및 보호에 관한 법률」제40조의2에 따른 가명처리에 관한 행위규칙을 준수한 가명정보는 제외)”로 한다.

별표 2의5 가목 및 나목을 각각 다음과 같이 한다.

가. 기본 포함사항

• 클라우드서비스 이용 대상 업무 및 시스템 개요
• 위탁하는 업무 데이터에 관한 사항
• 위수탁 계약 및 재위탁 관련 중요 변경사항이 있는 경우 통보필요 사항
• 감독당국 또는 내외부 감사인의 조사ㆍ 접근 수용 의무
• 클라우드서비스 제공자의 보안관리 수준 등에 관한 사항
• 서비스에 악영향을 미칠 수 있는 경우 계약 해지 권한 보유
• 고객정보보호 및 비밀유지
• 위탁계약 종료 시 데이터 파기
• 관련 법률 준수 및 보고 관련 의무

나. 추가 포함사항

• 비상대응훈련, 취약점 분석ㆍ평가, 침해사고 대응훈련 등 협조 사항
• 정보보호 의무 및 서비스 연속성 보장 등 보안 요구사항
• 서비스 제공 수준(SLA) 모니터링 및 시정조치 권리
• 금융회사 등이 위탁한 정보처리가 실제 수행되는 위치
• 서비스 제공 중단 시 데이터 접근권한 등 비상대책에 관한 사항
• 위탁업무를 다른 수탁자나 금융회사로 이전할 경우 지원의무 및 전환계획
• 합병ㆍ분할, 계약상 지위의 양도, 재위탁 등 중요 상황 발생시 대책
• 재위탁 또는 재위탁의 변경 등 금융회사의 동의가 필요한 사항
• 재위탁 관련 클라우드서비스 제공자의 관리ㆍ감독 의무

부 칙

이 규정은 고시한 날부터 시행한다.

신ㆍ구조문대비표

현 행

개 정 안

제15조(해킹 등 방지대책) ① 금융회사 또는 전자금융업자는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 다음 각 호의 대책을 수립ㆍ운용하여야 한다.

제15조(해킹 등 방지대책) ① --------------------------------------------------------------------------------------------------------------------------.

• 1.ㆍ2. (생 략)
• 1.ㆍ2. (현행과 같음)
• 3. 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리ㆍ차단 및 접속 금지. 다만, 다음 각 목의 경우에는 그러하지 아니하다.
• 3. ------------------------------------------------------------------------------------------. -------------------------------------.

가. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 연구ㆍ개발 목적의 경우(단, 금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 금융감독원장이 정한 망분리 대체 정보보호통제를 적용한 경우에 한한다)

가. ----------------------- 개인신용정보(「신용정보의 이용 및 보호에 관한 법률」제40조의2에 따른 가명처리에 관한 행위규칙을 준수한 가명정보는 제외)-----------------------------------------------------

나. (생 략)

나. (현행과 같음)

• 4. (생 략)
• 4. (현행과 같음)
• 5. 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것. 다만, 다음 각 목의 경우에는 그러하지 아니하다.
• 5. --------------------------------------------------------------------------------------------------------------------------------------------. ---------------------------------------.

가. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 연구ㆍ개발 목적의 경우(단, 금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 금융감독원장이 정한 망분리 대체 정보보호통제를 적용한 경우에 한한다)

가. ----------------------- 개인신용정보(「신용정보의 이용 및 보호에 관한 법률」제40조의2에 따른 가명처리에 관한 행위규칙을 준수한 가명정보는 제외)-----------------------------------------------------

나. (생 략)

나. (현행과 같음)