NO-ACTION OPINION · 12943 비조치의견

외부주문에 대한 점검 방법 관련

금융안전과 · 2015-05-20

회신

출처 · 원문 발췌

수용

□ (건의배경) 최근 개정된 외부주문에 대한 중요점검사항에 대한 점검이 현실적으로 매우 어려운 상황임

ㅇ 금융회사가 전산센터(IDC), 공동 수탁기관인 코스콤에 대해 보안관리방안을 수행하거나 보안점검*을 실시하기가 사실상 불가능

* 금융감독원장이 정하는 중요사항(12가지) 매일 점검은 실효성이 매우 떨어짐

□ (건의사항) 외부주문을 받은 외주업체들이 자체적으로 점검항목에 대해 점검하고 이를 금융회사는 통보받는 것으로 갈음

※ (관련법령 또는 지도) 전자금융감독규정 시행세칙 제9조의2 등

□ 금융회사는 전자금융감독규정(제60조 제1항 제14호)에 따라 외부주문에 대해 자체 보안성 검토 및 정기(금융감독원장이 정하는 중요 점검사항*에 대해서는 매일) 보안점검을 실시해야 합니다.

* (전자금융감독규정 시행세칙) 제9조의2 제2항 및 별표 5-3

□ 다만, 동 규정은 중요점검사항(12가지) 이외에 세부점검사항 및 점검방법 등은 별도로 규정하고 있지 않으므로,

ㅇ 금융회사의 관리책임 하에 외부주문에 대한 세부점검항목(중요점검항목은 반드시 포함)과 점검방법 등을 자체적으로 정하여 실시하는 것이 가능하다고 판단됩니다.

□ 따라서, 중요점검사항 이외에는 금융회사의 리스크 관리 차원에서 자체적으로 점검방법 및 점검주기 등을 정하여 외주업체를 점검·관리하고,

ㅇ 중요점검사항에 대해서는 감독규정에 따라 매일 보안점검을 실시하여 외주업체가 동 점검사항의 준수하는지 여부를 확인해야합니다.

ㅇ 이에 따라, 금융회사는 외부업체에 의한 정보유출이나 침해사고 등이 발생하지 않도록 지속적인 관리가 필요할 것으로 사료됩니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.