NO-ACTION OPINION · 11883 비조치의견

정보보호 관련 기관 간 중복 점검 개선

금융안전과 · 2015-10-19

회신

출처 · 원문 발췌

불수용

□ (건의배경) 현재 당사는 정보통신망법에 의해 정보보호관리체계 인증을 의무적으로 받아야 하고, 전자금융거래법에 의해 전자금융기반시설에 대한 취약점 분석/평가를 실시하여야 함

ㅇ 정보보호관리체계 인증을 위하여는 정보처리시스템의 취약점 분석, 평가를 실시하게 되는데 동 내용이 전자금융법상 전자금융기반시설 취약점 분석/평과와 유사하므로 양 기관에 별도록 취약점 분석, 보고를 하는 것은 업무 중복

□ (건의사항) 정보보호관리체계 인증을 받은 기관의 경우 동 ‘인증서’를 금융위에 제출하는 것으로 전자금융법상 전자금융기반시설에 대한 취약점 분석, 평가를 갈음

※ (관련 법규 및 지도) 정보통신망법 제47조, 전자금융거래법 제21조의 3

□ ‘취약점 분석?평가’는 악성코드 유포, 해킹 등 사이버 위협에 대한 정보통신시설의 취약점을 종합적으로 분석 및 평가?개선하기 위한 목적이고,

ㅇ ‘정보보호관리체계(ISMS) 인증’은 해당기관이 수립하여 운영하고 있는 정보보호 관리체계가 인증기준에 적합한지를 증명하는 것으로 주요 내용은 유사한 측면이 있으나 그 목적 및 성격은 서로 다릅니다.

ㅇ 또한 ISMS 인증에 관한 고시(미래창조과학부고시 제2013-36) [별표6]에 따르면, 인증심사를 위한 시스템 운영보안 분야의 통제항목(11.2.10)에서도 정기적인 취약점 점검을 수행할 것을 요구하고 있습니다.

□ 따라서 전자금융거래법(§21의3) 상의 취약점 분석?평가는 전자금융거래의 안전성?신뢰성 확보를 위해 모든 금융회사 등이 의무적으로 수행해야 할 것이며, 그 결과를 ISMS 인증에 활용 할 수 있을 것입니다.

ㅇ 참고로, 정보통신기반보호법에 따라 지정된 주요정보통신기반시설에 해당되는 경우 동 법률에 따른 취약점 분석?평가를 받은 때에는 전자금융거래법(§21의3①)에서 인정을 해주고 있습니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.