「전자금융감독규정」 제13조 제1항 제8호 관련

신규 시스템 구축으로 인한 데이터 이관 과정에서 데이터 정합성 검증 주1) 목적으로 현행 운영시스템과 동일한 수준의 내부통제가 적용된 별도의 환경 주2) 에서 변환하지 않은 이용자 정보를 사용하여 검증작업 주3) 을 실시하는 것이 전자금융감독규정 제13조제1항제8호 위반에 따른 조치대상에 해당하는지 여부 주1) 기존 시스템에 저장된 데이터를 신규시스템으로 이관하는 과정에서 데이터 보정 등 정제 작업 및 형식 변경 작업 등을 수행하여 이관 전후 데이터 간 차이가 발생하므로 정합성 검증이 필요 주2) 사전 수립된 검증계획에 따라 강화된 통제가 적용된 별도 공간에서 지정인력에 한해 검증작업을 실시 주3) 기존 시스템에서 발생한 거래지시를 테스트 목적으로 신규시스템에서 재처리하여 결과를 비교하는 자동화된 방식으로 데이터 정합성을 검증한 후 검증에 활용된 전체 데이터는 즉시 삭제

전자금융감독규정 제13조제1항제8호는 테스트시 이용자 정보의 사용을 원칙적으로 금지하고 있고,

다만, 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하되 테스트 종료 즉시 삭제하도록 규정하고 있습니다.

동 규정의 취지가 전산자료 유출 방지 및 전자금융거래 안전성 확보라는 점을 고려할 때,

문의하신 사실관계 하에서 귀 사에 동 규정을 문리적으로 적용하는 것은 오히려 불충분한 테스트로 인한 시스템의 안전성 저하를 야기하여 규정 취지와 부합하지 않는 것으로 보입니다.

따라서 귀 사가 데이터 정합성 검증에 필요한 최소 범위에서 이용자 정보를 사용한 후 즉시 삭제하는 한편,

외부주문에 대한 보안관리방안* 및 실제 운영시스템과 동일한 수준의 보안 대책**을 적용하는 등 테스트 영역에서의 정보유출을 방지하기 위한 적절한 내부통제기준을 적용한 경우 전자금융감독규정 제13조제1항제8호 위반으로 조치하지 않습니다. * 전자금융감독규정 제60조제1항제7호 및 동 시행세칙 제9조의2제1항 ** 비인가 전산장비·무선통신 접속 통제, 해킹 방지대책, 악성코드 감염 방지 대책, 사용자 권한 및 비밀번호 설정·운영, 이용자 비밀번호 암호화 등