NO-ACTION OPINION · 13015 비조치의견

자산규모를 반영한 정보보호인력 최소보유 기준 도입

금융안전과 · 2015-05-11

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) 아주캐피탈은 전자금융감독규정에 따른 정보기술부문 인력 및 정보보호인력기준을 다음과 같이 충족하여 운영

* 직원수 약 700명의 5% → 35명 이상 정보기술부문 인력 보유

정보기술부문인력의 5% → 2명의 정보보호인력 보유

ㅇ 그러나 캐피탈사의 경우 보안장비가 수백대에 이르는 등 정보보호업무가 카드사에 못지 않아 실제로는 정보보호인력이 더 필요한데도 관련규정에 따른 정보보호인력 보유기준은 2명에 불과

ㅇ 이에 따라 아주캐피탈은 실제 정보보호인력을 관련규정의 최소한도에 맞추어 2명으로만 운영하게 됨에 따라 정보보호업무에 애로사항으로 작용

□ (건의사항) 취급업무에 부합하는 적정수준의 정보보호인력이 확보될 수 있도록 자산규모 일정규모 이상 금융기관의 경우 정보보호인력 최소기준을 두는 등 관련규정을 보완할 필요

※ (관련법령 또는 지도) 전자금융감독규정 제7조

□「전자금융감독규정」제8조에서는 IT인력/총임직원 5%, IT보안인력/IT인력 5%, IT보안예산/IT예산 7% 이상을 확보하여 금융회사의 보안관리를 강화하도록 하고 있습니다.

ㅇ 규정에서 정한 IT 인력 및 예산 비율은 금융회사 정보보호 정책 운영의 최소 기준을 제시한 것이며, 금융회사의 규모와 업무성격 등 여건에 따라 기준 이상으로 운영할 수 있습니다.

□ 정보보호 인력 추가확대는 현재의 최소 기준을 바탕으로 개별 회사 내부의 정책에 따라 결정하는 것이 타당할 것으로 판단됩니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.