NO-ACTION OPINION · 13068 비조치의견

CIO, CISO 분리에 따른 역할 및 책임 명확화

금융안전과 · 2015-05-07

회신

출처 · 원문 발췌

기조치(수용)

□ (건의배경) 전자금융거래법 등에 따르면 금융회사는 CISO를 두어야 하므로 별도의 정보보안 관련부서도 신설되었으나 동 CISO의 역할과 책임이 기존 CIO와 중첩되는 측면

? 이에 따라 부서간 역할과 책임 구분이 불명확한 경우가 발생하며 모든 책임이 정보보안부서로 집결되는 현상이 발생

* 정보보안부서의 역할이 IT운영 파트와 엮이게 되어 정보보안부서가 보안장비 운영팀화 게되는 사례

* 정보보호최고책임자의 업무를 규정한 전자금융거래법 제21조의2 제3항중 일부(정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치)와 동 시행령 제11조의2 규정사항은 CIO의 역할인 것으로 판단

□ (건의사항) 전자금융거래법 및 전자금융거래법 시행령상의 CISO 역할중 CIO의 역할과 중첩되는 부문을 명확하게 구분 운영

※ (관련법령 또는 지도) 전자금융거래법 제21조의2 제3항, 동법 시행령 제11조의2 등

□ ‘15.4.16부터 전자금융거래법 제21조의2 제3항 및 동법 시행령 제11조의3 제2항에 따라 총자산 2조원 이상이고 상시 종업원 수가 1,000명 이상인 금융회사의,

ㅇ 정보보호최고책임자(이하 ‘CISO')는 전자금융거래법령(法 §21조의2④, 令 §11조의3③)이 정하는 업무 외에 다른 업무 겸직이 제한되었습니다.

* 최고정보책임자 (CIO:Chief Information Officer)

정보보호최고책임자 (CISO, Chief Information Security Officer)

□ 한편, 전자금융거래법 제21조의2 제4항, 동법 시행령 제11조의3 제3항에 CISO의 전담 업무가 구체적으로 명시되어 있음에도,

ㅇ CISO의 업무에 혼선이 발생하는 것은 그간 CIO가 CISO의 업무를 겸직하는 등의 관행으로 인한 것으로 판단됩니다.

□ 결과적으로, 정보보안부서의 보안장비 운영?관리, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치는 CISO 업무임을 말씀드리며,

* 정보보호?보안과 관련 없는 정보기술부문의 운영 및 관리, 전자금융기반시설의 운영 중 H/W?S/W의 고장?오류, 인적 원인 오류에 대한 대응은 CIO의 업무

ㅇ 귀 사가 CISO 겸직 금지 기준에 해당하는 금융회사일 경우에는 사내 업무분장 규정 등을 정비하여 혼선이 없도록 해야 할 것으로 판단됩니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.