NO-ACTION OPINION · 13000 비조치의견

정보보호 인력 및 예산 관련 기준의 명확화

금융안전과 · 2015-05-13

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) 전자금융감독규정에 의하면 금융회사는 일정수준 이상의 정보보호 인력* 및 예산**을 확보해야 하나,

* 정보기술부문 인력은 총 임직원수의 5% 이상, 정보보호인력은 정보기술부문 인력의 5% 이상

** 정보보호예산은 정보기술부문 예산의 7% 이상

ㅇ 정보보호업무 미수행 인력을 정보보호 인력 비율 산정시 포함하는 경우가 있으며,

ㅇ 예산의 경우 총예산 대비 정보기술부문 예산에 대한 비중을 규정하지 않아 애매

□ (건의사항) 정보보호 인력 비율 산정시 그 대상(예: CIO 및 CISO 소관 부서에 근무하는 인력 한정) 및 총예산 대비 정보기술부문 예산 비중을 명확히 규정화할 것을 요청

※ (관련법령 및 지도) 전자금융감독규정 제8조

□「전자금융감독규정」제8조에서는 IT인력/총임직원 5%, IT보안인력/IT인력 5%, IT보안예산/IT예산 7% 이상을 확보하여 금융회사의 보안관리를 강화하도록 하고 있습니다.

ㅇ 금융 정보보호 업무에 대하여, 전자금융거래법(§21의2)에서는 CISO의 업무를 구체화하고 있습니다. 이를 기준으로 금융회사는 CIO 조직(정보기술)과 CISO 조직(정보보호)에 대한 정확한 업무분장과 소속 인력을 구분하여 인력비율을 정확하게 산정하시기 바라며,

ㅇ 구체적으로 의문이 있는 사례가 있을 경우 이를 제시하여 주시면 성실히 답변드리겠습니다.

□ 한편, 금융회사 총예산에 대비한 IT 예산 비율을 정하는 것은 금융 전산화 도입초기의 IT진흥 차원에서는 의미가 있을 수 있으나, 최근의 IT산업 발전과 금융업무 환경을 고려할 때 이에 대한 예산 반영 비율까지 정부가 규제할 사항은 아니라고 사료됩니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.