정보보호조직의 독립성 유지 및 조직도에 대한 가이드 필요

(건의배경) 카드사 개인(신용)정보 유출사고 이후 관련법령 개정을 통해 금융회사에 대한 책임이 무거워졌으며, 일정 규모 이상인 금융회사*에 대해 전자금융거래법 상 CISO 지정 등이 의무화 * 총 자산 2조원 이상 상시종업원수 300명 이상

소규모 금융회사에서는 이러한 의무가 강제되어있지 않아 CISO의 독립성 유지가 사실상 어려운 측면

(건의사항) 정보보호 조직이 독립성을 유지하고 IT감사를 지속적으로 수행할 수 있도록 소규모 금융회사에 대해서도 정보보호 최고 책임자를 임원급으로 의무화 요청

정보보호최고책임자(CISO)를 임원급으로 지정해야 하는 회사규모를 ‘총자산 2조원, 상시종업원수 300명 이상’으로 정한 것은

당시, 타 법령을 종합적으로 고려하여 중소 금융회사에게 과도한 부담이 되지 않도록 규정한 것입니다. * 현재 85개 금융회사가 동 기준에 따라 CISO를 임원급으로 지정('15.2월) - 보험법시행령(제21조), 자본법시행령(제28조) 등 금융 관련 법령에서 사외이사 선임기준을 ‘자산규모 2조원’으로 규정하고 있습니다. - 또한, 당시 중소기업기본법시행령(별표1)에서는 정보서비스업의 경우 상시 근로자수 300명을 기준으로 중소기업 여부를 판단하였습니다. * 다만, 현재 법령에서는 근로자수에 대한 기준 삭제

CISO의 임원 지정 기준을 현재의 기준보다 하향 조정할 경우, 소규모 금융회사 또는 전자금융업자에게 부담이 될 수 있는 바, 신중한 검토가 요구될 것으로 판단됩니다.

다만, 법으로 의무화하지 않더라도 회사별 자체 판단에 따라 CISO를 임원급으로 지정하여 운영하는 것은 바람직하다고 판단됩니다.