CIO, CISO 분리에 따른 역할 및 책임 명확화

(건의배경) 전자금융거래법 등에 따르면 금융회사는 CISO를 두어야 하므로 별도의 정보보안 관련부서도 신설되었으나 동 CISO의 역할과 책임이 기존 CIO와 중첩되는 측면 ? 이에 따라 부서간 역할과 책임 구분이 불명확한 경우가 발생하며 모든 책임이 정보보안부서로 집결되는 현상이 발생 * 정보보안부서의 역할이 IT운영 파트와 엮이게 되어 정보보안부서가 보안장비 운영팀화 게되는 사례 * 정보보호최고책임자의 업무를 규정한 전자금융거래법 제21조의2 제3항중 일부(정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치)와 동 시행령 제11조의2 규정사항은 CIO의 역할인 것으로 판단

(건의사항) 전자금융거래법 및 전자금융거래법 시행령상의 CISO 역할중 CIO의 역할과 중첩되는 부문을 명확하게 구분 운영 ※ (관련법령 또는 지도) 전자금융거래법 제21조의2 제3항, 동법 시행령 제11조의2 등

‘15.4.16부터 전자금융거래법 제21조의2 제3항 및 동법 시행령 제11조의3 제2항에 따라 총자산 2조원 이상이고 상시 종업원 수가 1,000명 이상인 금융회사의,

정보보호최고책임자(이하 ‘CISO')는 전자금융거래법령(法 §21조의2④, 令 §11조의3③)이 정하는 업무 외에 다른 업무 겸직이 제한되었습니다. * 최고정보책임자 (CIO:Chief Information Officer) 정보보호최고책임자 (CISO, Chief Information Security Officer)

한편, 전자금융거래법 제21조의2 제4항, 동법 시행령 제11조의3 제3항에 CISO의 전담 업무가 구체적으로 명시되어 있음에도,

CISO의 업무에 혼선이 발생하는 것은 그간 CIO가 CISO의 업무를 겸직하는 등의 관행으로 인한 것으로 판단됩니다.

결과적으로, 정보보안부서의 보안장비 운영?관리, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치는 CISO 업무임을 말씀드리며, * 정보보호?보안과 관련 없는 정보기술부문의 운영 및 관리, 전자금융기반시설의 운영 중 H/W?S/W의 고장?오류, 인적 원인 오류에 대한 대응은 CIO의 업무

귀 사가 CISO 겸직 금지 기준에 해당하는 금융회사일 경우에는 사내 업무분장 규정 등을 정비하여 혼선이 없도록 해야 할 것으로 판단됩니다.