망분리 예외 적용시 대체 정보보호통제 기준 완화

(건의배경) 금융회사는 내부 업무용시스템과 외부통신망 연결이 불가피하여 망분리의 예외를 적용받고자 할 때, ‘대체 정보보호통제*’를 적용하고 정보보호위원회의 승인을 받아야 함 * 전자금융감독규정시행세칙 [별표 7] 망분리 대체 정보보호통제

그러나 대체 정보보호통제 항목 중 ‘PC사용자의 관리자 권한 제거’는 적용이 사실상 불가* * PC의 관리자 권한을 제거할 경우 보안프로그램의 실행이 안되고, 내부 업무시스템의 구동도 크게 제약되는 등 정상적인 PC 운영이 불가

(건의사항) 대체 정보보호통제 중 ‘PC사용자의 관리자 권한 제거’ 항목은 현실에 적용하기 어려운 점을 감안하여 ‘악성코드 감염 및 확산방지를 위한 대책 구현’ 등으로 대체 요망 ※ (관련법령 또는 지도) 전자금융감독규정시행세칙 제2조의2 및 [별표 7]

금융권 망분리는 인터넷을 통한 악성코드 감염 및 정보유출을 예방하기 위한 조치로써, 전자금융감독규정상의 의무사항으로 ‘15.9.17 전자금융감독규정 시행세칙 개정을 통하여 업무상 외부기관과 연결이 불가피한 경우의 망분리 적용 예외사항이 신설하였고, 망분리 대체통제로써 <별표7>이 마련되었습니다.

외부기관에 금융회사의 단말기 및 정보처리시스템이 외부기관의 보안수준에 따라 보안사고 위험에 노출 될 수 있으므로 외부기관으로부터 유입되는 악성코드로부터 금융회사 내부 단말기를 보호하기 위해 ‘PC 사용자의 관리자 권한 제거’ 조치는 불가피합니다.

또한, 건의하신 악성코드 감염 및 확산방지를 위한 대책은 감독규정 제16조에 이미 포함되어 규율하고 있습니다.