정보보호 교육 의무 완화

(건의배경) 정보보호최고책임자는 임직원의 정보보호역량 강화를 위해 필요한 프로그램을 개발하고 다음과 같이 매년 교육계획을 수립, 시행하여야 함

임원(3시간 이상, 정보보호최고책임자는 6시간 이상), 일반직원 6시간 이상, 정보기술부문업무 담당 직원 9시간 이상 등

(건의사항) 법 규정으로 교육시간을 강제하기 보다는 기본 최소교육시간을 정하고 그 외는 회사가 직원의 업무 성격과 처리하는 정보 종류에 따라 유연하게 운용 ※ (관련 법규 및 지도) 전자금융 감독규정 제19조의 2

건의하신 취지를 다시 확인한 결과, 규정상 일반직원의 경우 연간 6시간 이상의 교육시간이 의무로 되어있으나,

실질적으로 연간 6시간을 채우기가 어려워 일반직원에 대해 최소교육시간을 낮춰줄 수 있는지 건의하셨습니다(건의자 통화 완료).

동 규정은 금융전산사고 및 정보유출사고 등의 재발방지를 위해 금융회사 임직원의 역할과 업무 등을 고려하여 최소한의 이수교육시간을 정한 것으로써,

당시 '금융회사 IT부문 보호업무 모범규준(‘12.10월)'의 최소 교육시간 기준을 감독규정에 반영한 것입니다.

따라서, 정보보호최고책임자(CISO)는 해당 금융회사의 업무 및 각 임직원의 역할 등을 고려하여 다양한 교육프로그램*을 자체 수립함으로써, 보안교육이 원활히 이뤄질 수 있도록 노력해주시기 바랍니다. * (예시) 외부 보안전문가 초청, 이러닝 강의, 자체 보안교육, 정보보호 전문교육기관 위탁 등