침해사고대응 훈련결과 제출 예외 대상 적용
금융안전과 · 2016-12-19
회신
출처 · 원문 발췌
불수용
본문
요청 내용
□ (건의배경) 전자금융감독규정 제37조의4 제5항에 따라 금융회사 및 전자금융업자는 연 1회 이상 침해사고 대응 및 복구훈련 계획을 수립·시행하여야 함
ㅇ 상기 제5항 제4호에 의거 전자금융거래법 시행령 제5조 제2항 제1호에 따르면 전자금융업무를 하지 아니하는 은행, 증권, 보험, 저축은행, 신협, 농협, 수협 등은 적용이 제외됨
ㅇ 그러나, 금융지주회사는 동 시행령 제5조 제②항 제1호에서 정의한 금융회사 범위에 포함되지 않아 예외적용에서 제외됨
ㅇ 이에 따라 금융지주회사는 전자금융업무가 없더라도 규정상 침해사고대응 훈련 경과를 제출하여야 함
ㅇ DGB금융지주는 전자금융업무를 수행하고 있지 않으며, 내부적인 업무처리를 위한 IT자산마저 자회사인 대구은행을 통해 위탁 운영하고 있어서 실질적인 침해사고 대응훈련도 불가함
□ (건의내용) 전자금융업무가 없는 금융지주회사의 경우 침해사고 대응훈련 결과 제출 예외대상이 될 수 있도록 관련 법령의 개정 건의*
* (예시) 전자금융거래법 시행령 제5조 제②항에 '전자금융업무를 수행하지 않는 금융지주회사'를 추가하거나, 전자금융감독규정 제37조의4 제 5항에 '전자금융업무를 수행하지 않는 금융지주회사'를 추가
판단 이유
□ 전자금융감독규정 제37조의4에 따라 금융회사 및 전자금융업자는 전자금융기반시설의 침해사고에 대한 대응능력을 확보하기 위하여 연 1회 이상 침해사고 대응 및 복구훈련 계획을 수립·시행하여야 하고 그 계획 및 결과를 침해사고대응기관에게 제출하여야 합니다.
□ 그리고, 동 감독규정 제37조의4 제5항에 따라 전자금융업무를 하지 않는 일부 금융회사는 제출 의무가 없습니다.
ㅇ 다만, 금융지주회사가 전자금융 관련 업무를 자회사 또는 제3자에게 위탁했다고 해서 위탁회사인 금융지주회사가 전자금융업무를 하지 않는다고 볼 수는 없습니다. 업무 위탁시 관리책임은 위탁회사에게 있으며, 상기 침해사고 대응 훈련 및 결과 제출 또한 위탁회사의 관리 및 책임하에 실시되어야 하는바 금융지주회사의 상기 보고서 제출의무가 있음을 알려드립니다.
※ 참고로, IT자회사에 업무를 위탁하는 타 금융지주회사의 경우 상기 보고서를 제출하고 있는 상황입니다.
관련 법령
12. IT·정보보안>정보보안>정보보안 일반
연결
관련 근거
더 찾아보기
기관 원문
금융안전과에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.