정보보호 관리체계 인증방법 개선

(건의배경) 정보통신망법에서 규정하고 있는 정보보호관리체계 인증을 받으려면 ‘계좌번호 암호화’ 등의 문제로 금융사는 사실상 인증취득이 매우 어려운 상황

현재 정보통신망법 주관부서인 미래창조과학부에서는 동 사항의 문제점을 감안하여 유예를 해주고 있으나 근본적 해결책이 되지 못하고 있음

(건의사항) 금융회사는 정보통신망법에 규정되어 있는 정보보호관리체계 인증(ISMS)을 받지 않도록 명확히 하고,

금융정보보호관리체계 인증이 필요한 경우 금융회사가 준수 가능한 현실성 있는 금융정보보호관리체계(FISMS)를 전자금융거래법에 정하여 규율 ※ (관련법령 또는 지도) 정보통신망법

정보통신망법에 따른 ISMS 인증과 별도로 전자금융거래법에서 FISMS 인증제도를 운영하는 것은 정보보호 유사인증 제도의 난립을 방지하라는 감사원 지적사항을 감안하여 볼 때 적절하지 않은 것으로 사료됩니다.

다만, 건의하신 내용 중 ‘계좌번호 암호화’ 등 ‘금융회사가 준수 가능한 현실성 있는’ ISMS 인증 체계 운영과 관련하여서는

‘개인정보보호 정상화 대책(’14.7월)’에서 개인정보보호 3법(개인정보법?신용정보법?정통망법)을 금융 등 특정 업권에 적용 시 해당 업권의 특성을 반영하기로 함에 따라 미래부에서는 ISMS 인증 시 ‘계좌번호 암호화’ 등 현실적으로 준수가 어려운 항목을 고려하여 인증 심사를 할 수 있도록 하고 있으며* * ‘15.3월 기준 17개 증권사에서 ISMS인증 취득

금융보안원이 ‘15.7월 금융분야 ISMS 인증기관으로 신규 지정되었는바, 금융권 ISMS 인증과 관련하여 정통망법에 따른 기준을 적용하되 인증기관의 재량 범위 내에서 금융권의 현실을 감안하여 인증심사를 하고 있다는 점을 알려드립니다.

향후, 금융위는 정보보안의 원칙을 준수하면서도 금융권에 적합한 인증 심사기준의 명확화 등 세부적인 적용방안에 대하여 금융보안원 및 관계부처와 지속적인 협의를 해 나가도록 하겠습니다.