정보기술부문의 정보보호와 관련 업무를 위탁 받은 전자금융보조업자가 해당 업무를 제3자에게 재위탁할 수 있는 범위
전자금융거래법에서의 정보보호 관련 업무는 정보보호최고책임자(CISO)가 통솔하는 업무로서 정보기술부문의 보호를 위한 방화벽 운용․시스템모니터링 등 보안인프라 운영과 취약점 분석․평가, IT내부통제 관리 등의 업무를 말하며, 법 제40조 제6항에서는 정보기술부문의 정보보
정보기술부문의 정보보호와 관련 업무를 위탁 받은 전자금융보조업자가 해당 업무를 제3자에게 재위탁 할 수 있는 범위
* (사실관계) 금융회사가 보안업무의 일부를 전산업체에게 위탁하였고, 해당 전산업체는 수탁 보안업무의 일부를 재위탁하여 운영 하고 있음. 재수탁업자의 수행업무는 보안토큰 및 방화벽 운영, 네트워크 트래픽 분석 등 보안 인프라를 운영하는 업무 일 뿐이어서 금융거래정보 및 이용자 정보를 취급하는 업무와는 관련이 없음
전자금융거래법에서의 정보보호 관련 업무는 정보보호최고책임자(CISO)가 통솔하는 업무로서 정보기술부문의 보호를 위한 방화벽 운용․시스템모니터링 등 보안인프라 운영과 취약점 분석․평가, IT내부통제 관리 등의 업무를 말하며, 법 제40조 제6항에서는 정보기술부문의 정보보호와 관련된 업무에 대한 재위탁을 원칙적으로 금지하고 있습니다. 다만 전자금융감독규정 제60조 제4항 각 호의 요건을 충족한다면 재위탁이 허용될 수 있습니다.
전자금융거래법 제40조 제6항의 재위탁 금지규정은 전자금융거래정보의 보호 및 안전한 처리를 목적으로 설치된 조항이며, 후단의 단서 규정은 이러한 목적을 달성하기 위한 조건을 준수할 경우 제한적으로 재위탁을 허용하는 것입니다. 전자금융감독규정 제60조 제4항 각 호의 내용은 전자금융거래정보의 보호 목적 달성을 위해 보다 철저한 내부통제를 실시하고, 외부반출이 필요한 경우에는 관련정보를 이용하거나 다른 정보와 결합하여 금융거래정보를 식별할 수 없도록 조치를 하여야 함을 규정한 것입니다. 따라 서 그러한 조건이 충족된다면 재위탁을 허용할 수 있을 것입니다.
한편, 재위탁에 따른 재수탁자도 전자금융거래법 제2조 제5호에 따른 전자금융보조업자의 범위에 포함되므로 법 제40조 및 감독규정 제60조에 따른 의무사항을 준수하여야 합니다.