정보보호 인력 및 예산 관련 기준의 명확화

(건의배경) 전자금융감독규정에 의하면 금융회사는 일정수준 이상의 정보보호 인력* 및 예산**을 확보해야 하나, * 정보기술부문 인력은 총 임직원수의 5% 이상, 정보보호인력은 정보기술부문 인력의 5% 이상 ** 정보보호예산은 정보기술부문 예산의 7% 이상

정보보호업무 미수행 인력을 정보보호 인력 비율 산정시 포함하는 경우가 있으며,

예산의 경우 총예산 대비 정보기술부문 예산에 대한 비중을 규정하지 않아 애매

(건의사항) 정보보호 인력 비율 산정시 그 대상(예: CIO 및 CISO 소관 부서에 근무하는 인력 한정) 및 총예산 대비 정보기술부문 예산 비중을 명확히 규정화할 것을 요청 ※ (관련법령 및 지도) 전자금융감독규정 제8조

「전자금융감독규정」제8조에서는 IT인력/총임직원 5%, IT보안인력/IT인력 5%, IT보안예산/IT예산 7% 이상을 확보하여 금융회사의 보안관리를 강화하도록 하고 있습니다.

금융 정보보호 업무에 대하여, 전자금융거래법(§21의2)에서는 CISO의 업무를 구체화하고 있습니다. 이를 기준으로 금융회사는 CIO 조직(정보기술)과 CISO 조직(정보보호)에 대한 정확한 업무분장과 소속 인력을 구분하여 인력비율을 정확하게 산정하시기 바라며,

구체적으로 의문이 있는 사례가 있을 경우 이를 제시하여 주시면 성실히 답변드리겠습니다.

한편, 금융회사 총예산에 대비한 IT 예산 비율을 정하는 것은 금융 전산화 도입초기의 IT진흥 차원에서는 의미가 있을 수 있으나, 최근의 IT산업 발전과 금융업무 환경을 고려할 때 이에 대한 예산 반영 비율까지 정부가 규제할 사항은 아니라고 사료됩니다.