전자금융거래법 제40조 제6항의 전자금융보조업자의 정보보호업무 재위탁금지 예외 인정 관련 문의
보안토큰 및 방화벽 운영, 네트워크 트래픽 분석 등 보안인프라 운영 업무의 경우 전자금융거래정보를 주업무로 취급하지 않더라도 정보기술부문의 정보보호와 관련된 업무로서 원칙적으로 재위탁 금지대상에 포함됩니다. 다만, 전자금융거래법 제40조 제6항의 단서 규정에 따라 전자
전자금융거래법 제40조 제6항의 전자금융보조업자의 정보보호업무 재위탁 금지 예외 인정 관련 문의
1. 당사는 사업을 진행하며, 고객사에 금융서비스를 제공함에 (1)보안인프라를 운영하는 업무 또는 (2)부수적으로 정보보호업무를 수행하는바, (1)단순 보안인프라를 운영 업무와 (2)부수적으로 이루어지는 정보보호업무의 경우에도, 전자금융거래법 제40조 제6항 본문에 해당되어, 정보기술부문의 정보보호와 관련된 업무를 위탁 받은 전자금융보조업자로서 제3자에게 해당업무를 재위탁해서는 안되는지 여부
2. 재위탁 금지사유에 해당되는 경우에, 전자금융거래법 제40조 제6항 단서 및 전자금융감독규정 제60조 제4항의 "금융위원회가 인정하는 경우"로 인정되어 위탁가능하기 위한 요건은 "전자금융감독규정 제60조 제4항"의 "요건"만을 충족하면 가능한지 여부
보안토큰 및 방화벽 운영, 네트워크 트래픽 분석 등 보안인프라 운영 업무의 경우 전자금융거래정보를 주업무로 취급하지 않더라도 정보기술부문의 정보보호와 관련된 업무로서 원칙적으로 재위탁 금지대상에 포함됩니다. 다만, 전자금융거래법 제40조 제6항의 단서 규정에 따라 전자금융감독규정 제60조 제4항 각 호에 대하여 준수할 경우 재위탁이 예외적으로 허용된다고 하겠습니다.
전자금융거래법 제40조 제6항의 재위탁 금지조항은 전자금융거래정보의 보호 및 안전한 처리를 목적으로 설치된 조항이며, 후단의 단서 규정은 이러한 목적을 달성하기 위한 조건을 준수할 경우 제한적으로 재위탁을 허용하는 것입니다. 전자금융감독규정 제60조 제4항 각 호는 전자금융거래정보의 보호 목적 달성을 위해 보다 철저한 내부통제를 실시하고, 외부반출이 필요한 경우에는 관련정보를 이용하거나 다른 정보와 결합하여 금융거래정보를 식별할 수 없도록 조치를 하여야 함을 규정한 것입니다.
방화벽, 네트워크 트래픽 분석 설비 등 정보보안 설비는 금융거래정보를 주업무로 취급하지 않지만, 네트워크 및 서버에 금융거래 정보가 유통될 가능성이 있으므로 보안 인프라 운영에 대한 재위탁은 전자금융감독규정 제60조 제4항 각 호의 요건을 충족하는 경우에만 허용됩니다.