NO-ACTION OPINION · 10945 비조치의견

정보보호 관리체계 인증대상 제외

금융안전과 · 2016-05-26

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) 교육, 의료업계와 같이 보안수준이 낮은 업권의 정보보호 수준 향상을 위해 일부 개정된 정통망법(’16.6.2.시행)에 따라 모든 금융회사도 정보보호 관리체계(ISMS) 인증을 받아야 함

ㅇ 그러나 ISMS 인증심사시 점검하는 항목의 73.9%가 전자금융감독규정상 금융회사의 의무사항으로 규정되어 있어 금융회사의 ISMS 인증은 실효성이 없고 인증비용 낭비만을 유발

ㅇ 만약 인증을 반드시 받아야 한다고 하더라도 시행일(’16.6.2)이 임박한 상황에서 인증 대상 회사의 인증신청이 집중되어 기한 내 인증이 불가할 우려

□ (건의사항) 금융회사를 ISMS 인증대상에서 제외하여 주시거나 인증을 반드시 받아야 한다면 인증대상 선정기준을 완화하고 인증 기간도 유예해 주시기 바람

※ (관련법령 또는 지도) 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조(정보보호 관리체계의 인증) 및 동법 시행령 제49조(정보보호 관리체계 인증 대상자의 범위)

□ 정보보호관리체계(ISMS)인증은 미래부 소관법인 정보통신망 이용촉진 및 정보보호에 관한 법률 제47조에 의한 것으로,

ㅇ 법 개정에 따라 금융 등 모든 분야로 인증대상이 확대된 이후, 미래부에서는 매출액 1500억 이상인 모든 금융회사의 ISMS인증 의무화를 규정한 시행령 개정안을 입법예고 하였습니다.

□ 건의하신 바와 같이 금융회사 ISMS 의무화는 중복 및 과도한 규제 소지가 있어, 시행령 개정과 관련한 관계부처 의견 조회 시 금융위에서는 금융회사를 ISMS 의무화 대상에서 제외해 달라는 의견을 제출(2.23.)하였습니다.

ㅇ 향후 시행령 개정 과정에서 건의하신 의견이 반영될 수 있도록 노력하겠습니다..

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.