NO-ACTION OPINION · 12857 비조치의견

IT보안부문에 대한 과도한 투자 우려

금융안전과 · 2015-05-26

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) 전자금융감독규정에 의하면 금융회사는 정보기술부문 예산의 7% 이상을 정보보호예산으로 편성하여야 함

※ 전자금융감독규정 제8조(인력, 조직 및 예산)

② 금융회사 또는 전자금융업자는 인력 및 예산에 관하여 다음 각 호의 사항을 준수하도록 노력하여야 한다.

1. 정보기술부문 인력은 총 임직원수의 100분의 5 이상, 정보보호인력은 정보기술부문 인력의 100분의 5 이상이 되도록 할 것

2. 정보보호예산을 정보기술부문 예산의 100분의 7 이상이 되도록 할 것

ㅇ 금융회사의 IT보안* 인프라 수준이 요구수준에 도달한 경우에도 관련 예산을 계속 편성해야함에 따라 과도하고 비효율적인 투자 발생

* 개인정보보호대책, 망분리, 재해복구센터 구축, 계정/권한 관리 등

□ (건의사항) 일정 수준 이상의 IT보안 인프라를 구축한 경우 낮은 정보보호예산 편성 비율 적용하거나,

ㅇ 금융회사의 규모나 재정상황 등을 고려하여 정보보호예산을 자율적으로 편성할 수 있도록 감독규정 개정 요청

※ (관련법령 및 지도) 전자금융감독규정 제8조

□ 전자금융감독규정에서 규정하고 있는 IT 인력 및 예산 비율*은 금융회사 경우 인력?예산 비율 책정의 자율성 및 해외의 사례**를 감안하여,

ㅇ 정보보호 정책 운영의 최소 기준으로 권고***하는 사항이며, 2020.1.1 효력상실 일몰이 기 설정(2015.2.3 개정)되어 있음을 말씀드립니다.

* IT인력/총임직원 5%, IT보호인력/IT인력 5%, IT보호예산/IT예산 7% 이상

** (해외사례) ‘12년 기준 IT예산은 8.1%, IT인력은 9.5%(가트너그룹, IT Matrics, 2013)

*** 규제개혁위원회 권고에 따라 강제조항이 아닌 권고조항으로 운용중

□ 따라서, 건의하신 바와 같이 일정 수준 이상의 IT보안 인프라를 구축한 경우 규모나 재정상황 등을 고려하여 탄력적으로 운영할 수 있을 것으로 판단됩니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.