내부 테스트 수행 시 기업계좌번호는 마스킹 제외 허용

회신

출처 · 원문 발췌

수용

본문

요청 내용

□ (건의배경) 전자금융감독규정?제13조 제1항 제10호에 따르면 ‘이용자 정보의 조회, 출력에 대한 통제를 하고, 테스트 시 이용자 정보사용을 금지하고 있음(다만, 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제)

ㅇ 여기에서 언급하고 있는 이용자는 통상적으로 개인 고객을 의미하며, 개인 고객의 경우 정보 유출에 따른 피해가 크고 사회적 문제가 되기 때문에 내부 테스트에서 이용자 정보를 활용하는 경우 마스킹하여 사용하도록 법에서 규정하고 있는 것으로 보임

ㅇ 그러나, 기업고객의 경우 기업의 상호, 주소 등 공개되어 있는 정보가 많으며, 공적 거래에 따라 계좌번호도 공개되어 사용되는 경우가 많음

ㅇ 정보보호 관련 법률(개인정보보호법, 신용정보법 등)에서도 보호대상으로 삼고 있는 것은 개인 정보이며, 기업정보에 대해서는 특별한 보호조치를 요구하고 있지 않음

ㅇ 만약 기업의 계좌번호가 유출이 되더라도 기업의 계좌번호만으로는 기업 정보임을 유추하기 어렵고 유출로 인한 문제가 발생할 가능성은 매우 낮다고 판단됨

ㅇ 전자금융감독규정에서는 기업계좌번호에 대해 마스킹 해야 한다는 명확한 문구가 없음

ㅇ 한국씨티은행은 개인뱅킹시스템과 기업뱅킹시스템이 분리되어 있음.

ㅇ 개인뱅킹시스템(CORE Banking)은 ’16.3.31. 계좌번호 마스킹 적용을 마지막으로 모든 개인정보(이름, 주민등록번호, 계좌번호, 전화번호, 이메일 등)에 대하여 테스트 시 마스킹하여 처리하고 있으며, 기업뱅킹시스템(FLEXCUBE)은 계좌번호를 제외한 기업정보에 대해서 마스킹 되어 있음

ㅇ 기업뱅킹시스템(FLEXCUBE)은 Global하게 사용하는 시스템으로 주요 프로그램 변경 및 신규 시 Global에서 1차 개발 후 필요시 각 나라에 맞게 수정하여 적용하고 있음

ㅇ 또한 global하게 기업계좌에 대한 마스킹은 하고 있지 않아 한국만을 위해 마스킹을 할 경우 아래와 같은 어려움이 있음

① 다국적기업이 많아 global 하게 자료를 취합(CitiDirect BE: 기업인터넷뱅킹)하여 기업체(ERP)와 연계하여 테스트하는 경우가 많으며, 고객이 실 계좌번호로 테스트하기를 원함

② 대기업 및 다국적기업의 경우 계좌번호를 가지고 연동테스트(예를 들면, 수신, 여신, 외환(e-Dealer), 전자어음)를 많이 하게 되는데, 금감원에 승인받은 100여개의 해외 시스템에 어떤 영향이 있는지 파악하기가 현실적으로 불가능

③ Global 기업인터넷뱅킹(CitiDirect BE)의 경우 1개의 계좌에 대해 기업의 사용자 별 권한을 부여하여 테스트해야 하는데 마스킹을 하면 테스트를 할 수가 없게 됨

□ (건의내용) 따라서 글로벌 고객이 사용하는 글로벌 시스템과 연계되어 사용되는 등 공적 거래에 활용하여야 하므로 내부 테스트 시 기업의 계좌번호는 마스킹 예외 처리 허용

판단 이유

□ 전자금융감독규정 제13조1항10호에서는 이용자 정보 유출을 막기 위해 테스트 용도로 이용자 정보 사용을 금지하고 있습니다.,

ㅇ 다만, 건의내용에서 말씀하신 것처럼 법인 고객의 경우 정보유출에 따른 피해 발생 가능성이 낮아, 법인 고객이 정보유출 가능성에도 불구하고 테스트용도로 사용해 주길 원하는 경우에도 이용을 막는 것은 실익이 없다고 보입니다.

□ 법인의 경우 이용자 동의하에 테스트 목적으로 이용자 정보를 사용할 수 있도록 해당 규정의 예외를 허용하는 방향의 감독규정 개정을 검토 하겠습니다.

관련 법령

11. 개인신용정보>개인신용정보 관리

연결

관련 근거

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색