NO-ACTION OPINION · 11986 비조치의견

외부주문에 대한 점검 방법 개선

금융위원회 · 2015-09-21

회신

출처 · 원문 발췌

불수용

□ (건의배경) 최근 개정(‘15. 2월)된 금융회사의 외부주문 점검과 관련하여 중요점검사항(12가지)*에 대한 일일 점검은 현실적으로 준수하기가 불가능하며 그 실효성에 대해서도 의문임

* 운영시스템 접속·사용 통제, 테스트시 이용자 정보 사용금지, 인터넷(무선통신망 포함) 사용 통제, 전산실 등 출입자 관리기록부 기록?보관, USB 등 보조기억매체 사용 통제 등

ㅇ 외부주문 업무 특성 등에 따라 점검 항목이 다를 수 있음에도 이에 대한 고려 없이 점검항목이 일률적으로 정해져 있어 보안 점검 실효성에 문제가 있음*

* 예) 비상주 외주업체 경우 PC 또는 매체에 대한 통제 점검은 물리적인 상황으로 실질적인 점검이 어려우며, 전산실 출입을 하지 않는 외주업체 직원에게도 전산실 출입 기록에 대한 점검 항목을 불필요하게 점검하는 것은 적절하지 않음

ㅇ 점검 항목 특성마다 점검 주기가 정해져 있는데 일반적인 통제 사항을 일일 점검하는 것은 형식적인 점검에 그칠 수 있음

* 예) 전산장비 및 무선통신에 대한 접속 통제, 인터넷 사용 통제 등은 통제 수단을 마련하면 지속적으로 적용되는 항목이므로 일일 점검이 불필요하며, 테스트시 이용자 정보 사용금지는 테스트시에만 필요한 항목이므로 일일 점검의 의미가 없음

⇒ 외부 주문에 대한 점검 항목, 주기, 방법 등을 금융기관이 정하여 점검하는 것이 점검 업무의 실효성 제고 측면에서 바람직하며, 보다 현실에 부합하는 제도 운영으로 판단

□ (건의사항) 위탁사가 자체적으로 수립한 기준(점검 항목, 주기, 방법 등)에 따라 점검할 수 있도록 제도개선 필요

※ (관련 법규 및 지도) 전자감독규정 §60①14, 동규정 시행세칙 §9의2, 별표 5-3

□ 정보보안 일일점검은 금융회사의 개인정보유출 사태에 대한 대책으로 점검방법에 대해서는 별도의 규제가 없어 금융회사가 자율적으로 결정할 수 있습니다.

? 하지만 점검주기 및 항목까지 금융회사가 자율적으로 정하는 것은 규정의 제정 취지에 부합하는 것으로 보이지 않으며, 점검항목에 대해서는 일부 항목의 조정이 이루어진 전자금융감독규정시행세칙 개정안이 9월 중 시행될 예정이오니 참고해주시기 바랍니다.

매칭된 조문이 없습니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.