외부주문에 대한 점검 방법 관련

(건의배경) 최근 개정된 외부주문에 대한 중요점검사항에 대한 점검이 현실적으로 매우 어려운 상황임

금융회사가 전산센터(IDC), 공동 수탁기관인 코스콤에 대해 보안관리방안을 수행하거나 보안점검*을 실시하기가 사실상 불가능 * 금융감독원장이 정하는 중요사항(12가지) 매일 점검은 실효성이 매우 떨어짐

(건의사항) 외부주문을 받은 외주업체들이 자체적으로 점검항목에 대해 점검하고 이를 금융회사는 통보받는 것으로 갈음 ※ (관련법령 또는 지도) 전자금융감독규정 시행세칙 제9조의2 등

금융회사는 전자금융감독규정(제60조 제1항 제14호)에 따라 외부주문에 대해 자체 보안성 검토 및 정기(금융감독원장이 정하는 중요 점검사항*에 대해서는 매일) 보안점검을 실시해야 합니다. * (전자금융감독규정 시행세칙) 제9조의2 제2항 및 별표 5-3

다만, 동 규정은 중요점검사항(12가지) 이외에 세부점검사항 및 점검방법 등은 별도로 규정하고 있지 않으므로,

금융회사의 관리책임 하에 외부주문에 대한 세부점검항목(중요점검항목은 반드시 포함)과 점검방법 등을 자체적으로 정하여 실시하는 것이 가능하다고 판단됩니다.

따라서, 중요점검사항 이외에는 금융회사의 리스크 관리 차원에서 자체적으로 점검방법 및 점검주기 등을 정하여 외주업체를 점검·관리하고,

중요점검사항에 대해서는 감독규정에 따라 매일 보안점검을 실시하여 외주업체가 동 점검사항의 준수하는지 여부를 확인해야합니다.

이에 따라, 금융회사는 외부업체에 의한 정보유출이나 침해사고 등이 발생하지 않도록 지속적인 관리가 필요할 것으로 사료됩니다.