NO-ACTION OPINION · 13003 비조치의견

금융위가 정한 기준에 대하여 적절한 근거를 마련하여 준수하고 있다면 과태료 부과대상에서 제외 요청 등

금융위원회 · 2015-05-13

회신

출처 · 원문 발췌

기조치(수용)

본문

요청 내용

(건의배경) 전자금융거래법은 전자금융거래의 안전성 확보의무를 다하지 않은 경우* 5천만원 이하의 과태료를 부과 * 안정성 확보의무를 위반하여 선량한 관리자로서의 주의를 다하지 아니하거나 금융위가 정하는 기준을 준수하지 않은 경우

그러나 ① 규정의 모호, ② 해석 요청에 대한 명확한 답변 부재, ③ 현실적 어려움으로 인하여 전자금융감독법규 준수에 애로가 있으며, 위반시 부과되는 과태료에 대한 부담도 큼 <전자금융감독규정 준수시 애로사항 예시>

규정의 모호함 제13조(전산자료 보호대책) ① 2. 외부사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치를 갖출 것

금융회사 또는 전자금융업자는 단말기와 전산자료의 접근권한이 부여되는 정보처리시스템 관리자에 대하여 적절한 통제장치를 마련·운용하여야 한다. 제15조(해킹 등 방지대책) ④ 금융회사 또는 전자금융업자는 해킹 등 전자적 침해행위로 인한 피해 발생시 즉시 대처할 수 있도록 적절한 대책을 마련하여야 한다. ⇒ ‘적절한’은 해석하는 사람이나 상황에 따라 달라질 가능성 높음

해석 요청에 대한 명확한 답변 부재 제15조(해킹 등 방지대책) ① 5. 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것(단, 업무 특성상 분리하기 어렵다고 금융감독원장이 인정하는 경우에는 분리하지 아니하여도 된다.) ⇒ 전산기술적인 부분에 대한 해석을 요청을 할 경우 금융위와 금감원으로부터 명확한 답변을 얻기 어려움

현실적 어려움 제14조(정보처리시스템 보호대책) 7. 정보처리시스템의 운영체계, 시스템 유틸리티 등의 긴급하고 중요한 보정(patch)사항에 대하여는 즉시 보정 작업을 할 것 ⇒ 24시간 전산서비스를 제공하는 경우에는 즉각적인 보정작업이 불가(보정작업 중에는 전산시스템을 중지해야함) 제13조(전산자료 보호대책) ① 금융회사 또는 전자금융업자는 전산자료의 유출, 파괴 등을 방지하기 위하여 다음 각 호를 포함한 전산자료 보호대책을 수립·운용하여야 한다.

전산자료 및 전산장비의 반출·반입을 통제할 것 ⇒ 반출과 달리 반입의 경우 통제 절차마련은 가능하지만 전산자료 포함여부를 확인할 수 있는 방법이 없을뿐더러 강제화도 힘듬 제13조(전산자료 보호대책) ① 13. 단말기에 이용자 정보 등 주요정보를 보관하지 아니하고, 단말기를 공유하지 아니할 것(다만, 불가피하게 단말기에 보관할 필요가 있는 경우 보관사유, 보관기간 및 관리 비밀번호 등을 정하여 책임자의 승인을 받아야 한다) ⇒ PC를 이용할 경우 PC에 개인정보를 저장할 때마다 책임자 승인을 받을 수 있는 기술적 방안이 현실적으로 없음

(건의사항) 금융위가 정한 기준에 대하여 적절한 근거를 마련하여 준수하고 있다면 선량한 관리자의 주의를 다한 것으로 보아 과태료 부과대상에서 제외하고(금융위),

모호한 규정에 대해서는 전자금융감독규정 해설서*를 업데이트해줄 것을 요청(금감원) ＊ ‘09년 이후 개정 및 배포되지 않고 있음 ※ (관련법령 또는 지도) 전자금융거래법 제21조 및 제51조, 전자금융감독규정 제13조, 제14조, 제15조 등

판단 이유

전자금융거래법 제21조 제1항에서는 금융회사등에 대하여 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하도록 하고,

같은 조 제2항에서는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융업무에 대하여 ‘금융위원회가 정하는 기준*’을 준수하도록 하고 있습니다. * 전자금융감독규정 제7조～37조

과태료는, 상기를 위반하여, 선량한 관리자로서의 주의를 다하지 아니하거나 금융위원회가 정하는 기준을 준수하지 아니한 자에 대하여만, 동법 제51조 제1항에 따라 5천만원 이하를 부과하도록 하고 있습니다.

따라서, 금융위원회가 정하는 기준을 합리적으로 준수*하고 있는 경우 과태료가 부과되지 않으며, * §13①(5) 전산자료 보호대책 수립?운용이 필요한 장소?업무는 전산장비에 대한 반입처리절차를 수립하여 전산자료 포함여부를 확인하지 않아도 되는 방법 등을 마련?운용 §13①(13) 이용자 정보 등 주요정보를 취급하는 직원에 대한 정보 취급 및 책임자 통제절차 마련?운용 등 §14(7) 24시간 운영시스템은 고객 공지 후 보정작업계획 수립 및 계획시간 내 처리하는 등의 절차 마련?운용 ※ 현재까지 동 법규 위반으로 과태료가 부과된 적은 없음 ㅇ예시하신 ‘규정의 모호함’, ‘해석 요청에 대한 답변 부재’ 등의 애로사항 해소를 위하여, ‘금융규제민원포털*’을 마련하고 법령해석 또는 비조치의견서 요청을 처리하고 있으니 업무에 참고하여 주시기 바랍니다. * 금융규제민원포털 홈페이지 : http://better.fsc.go.kr ㅇ또한, 규정의 모호한 구체적 사례에 대하여 해석 요청사항을 제시하여 주시면 성실히 답변드리겠습니다.

아울러, 금융감독원이 작성한 ‘전자금융감독규정 해설서’에 대하여는 최근 법개정 내용을 반영한 후 전달해 드리겠습니다.