NO-ACTION OPINION · 11935 비조치의견

정보시스템 테스트 시 이용자 정보 조회/출력에 대한 통제 항목 개선

금융안전과 · 2015-10-05

회신

출처 · 원문 발췌

불수용

□ (건의배경) 전자금융감독규정 제13조에 의거, 금융회사 또는 전자금융업자는 전산자료의 유출, 파괴를 방지하기 위해 이용자 정보 조회 및 출력에 대한 통제를 받고 있음

ㅇ 다만, 부하테스트 등 불가피한 경우에 한해 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제해야 하나, 변환된 이용자 정보는 테스트를 위한 거짓 정보로서 삭제 필요성이 낮다고 판단됨

□ (건의사항) 전자금융감독규정(제13조제1항 10호)의 변환데이터 삭제 의무가 폐지되도록 관련규정 개정 요청

※ (관련법령 또는 지도) 전자금융감독규정 제13조

□ 동 규정(§13①10)은 원칙적으로는 이용자의 정보를 엄격히 보호하기 위해 테스트 시에는 이용자 정보의 사용을 금지하는 한편,

ㅇ 테스트 종류에 따라 이용자 정보 사용이 불가피한 경우에는 반드시 변환하여 사용하고 테스트 종료 즉시 변환된 정보도 삭제함으로써 정보유출에 따른 2차 피해 가능성을 사전에 완전히 차단하는 것입니다.

ㅇ 변환된 정보라 할지라도 다른 여러 정보와의 결합을 통해 이용자 정보의 유추나 식별할 수 있는 가능성이 있기 때문에 건의하신 사항을 수용하기 어려움을 알려드립니다.

□ 참고로, 동 조항은 ‘11.4월에 발생한 금융회사 전산사고*에 따른 ?금융회사 IT보안강화 종합대책(’11.6월)?의 후속조치로서,

* 현대캐피탈 고객정보유출사고(‘11.4.7), 농협 전산장애 사고(’11.4.12)

ㅇ 이용자의 정보보호 강화를 위해 전자금융감독규정을 개정(‘11.10월)한 것입니다.

* (개정 이전) 이용자정보의 조회·출력 통제 및 테스트 시 주요 이용자 정보를 변환하여 사용할 것

(개정 이후) 이용자 정보의 조회·출력에 대한 통제를 하고 테스트 시 이용자 정보 사용 금지(다만, 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 한다)

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.