정보보안예산 기준의 명확화

(건의배경) IT 관련 소위 “5-5-7 규정*”중 예산 관련 규정인 ‘7% rule’에 대한 구체적 범위를 명시되어 있지 않음 * 전자금융감독규정 제8조 제2항 : 정보기술부문 인력은 총임직원의 100분의 5이상, 정보보호인력은 정보기술부문 인력의 100분의 5이상 정보보호예산은 정보기술부문예산의 100분의 7이상

정보보호예산에 유지보수 등 기타 운영비가 포함될 경우, 旣도입된 보안 솔루션의 유지보수비용만으로도 7% 규정을 충족할 수 있어 규정의 실효성이 떨어짐

(건의사항) ‘7% rule’ 산정시 정보보호예산에 포함되는 비용을 신규 시스템 도입 관련 件으로 제한하여 주시길 요망 ※ (관련법령 또는 지도) 전자금융감독규정 제8조 제2항

정보보호 예산은 ‘정보기술부문 예산 중 정보보호와 관련하여 소요되는 모든 경비의 합계’로서 「전자금융감독규정」<별표2>에서 그 기준을 정하고 있습니다. * 정보보호관련 인건비, 유지보수비, 외주용역비 등 8개 항목으로 규정

귀사의 건의사항과 관련하여 정보보호예산 비용을 신규시스템 도입관련 건으로 제한 할 경우,

정보보호 관련 인프라를 일정 수준 이상으로 확보한 이후에도 지속적으로 신규 투자를 해야 하는 등 금융회사 등에 과도한 부담이 될 수 있으며,

또한, 의무적으로 신규 투자를 할 경우 유사 시스템에 대한 중복 도입, 해당 시스템의 관리인원 및 유지보수비 증가 등 추가적인 비용발생도 예상됩니다.

건의하신 사항은 정보보호 투자비용을 지속적으로 확대할 필요가 있다는 취지로 이해되며, 그 취지에는 공감하나

앞서 설명한 측면과 함께 동 기준은 금융회사 등에 권고하는 최소한의 기준으로 금융회사 자율적으로 기준 이상의 투자를 할 수 있는 점 등을 감안하여 수용하기 어려움을 양해해 주시기 바랍니다.