정보시스템 테스트 시 이용자 정보 조회/출력에 대한 통제 항목 개선

(건의배경) 전자금융감독규정 제13조에 의거, 금융회사 또는 전자금융업자는 전산자료의 유출, 파괴를 방지하기 위해 이용자 정보 조회 및 출력에 대한 통제를 받고 있음

다만, 부하테스트 등 불가피한 경우에 한해 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제해야 하나, 변환된 이용자 정보는 테스트를 위한 거짓 정보로서 삭제 필요성이 낮다고 판단됨

(건의사항) 전자금융감독규정(제13조제1항 10호)의 변환데이터 삭제 의무가 폐지되도록 관련규정 개정 요청 ※ (관련법령 또는 지도) 전자금융감독규정 제13조

동 규정(§13①10)은 원칙적으로는 이용자의 정보를 엄격히 보호하기 위해 테스트 시에는 이용자 정보의 사용을 금지하는 한편,

테스트 종류에 따라 이용자 정보 사용이 불가피한 경우에는 반드시 변환하여 사용하고 테스트 종료 즉시 변환된 정보도 삭제함으로써 정보유출에 따른 2차 피해 가능성을 사전에 완전히 차단하는 것입니다.

변환된 정보라 할지라도 다른 여러 정보와의 결합을 통해 이용자 정보의 유추나 식별할 수 있는 가능성이 있기 때문에 건의하신 사항을 수용하기 어려움을 알려드립니다.

참고로, 동 조항은 ‘11.4월에 발생한 금융회사 전산사고*에 따른 ?금융회사 IT보안강화 종합대책(’11.6월)?의 후속조치로서, * 현대캐피탈 고객정보유출사고(‘11.4.7), 농협 전산장애 사고(’11.4.12)

이용자의 정보보호 강화를 위해 전자금융감독규정을 개정(‘11.10월)한 것입니다. * (개정 이전) 이용자정보의 조회·출력 통제 및 테스트 시 주요 이용자 정보를 변환하여 사용할 것 (개정 이후) 이용자 정보의 조회·출력에 대한 통제를 하고 테스트 시 이용자 정보 사용 금지(다만, 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 한다)