동사와 금융회사 또는 전자금융업자간 전자금융거래 수행시 원칙적으로 암호화 통신을 하여야 하나, 전용선을 사용하는 경우로 보안성심의를 실시한 경우에는 암호화 통신을 하지 않을 수 있습니다. ※ 다만, 처리되는 데이터 중 ‘고유식별정보’나 ‘개인신용정보’ 등이 포함될 경우 신용정보법·개인정보보호법 등에 따라 정보통신망 송수신시 암호화하여야 하는 등 관련법을 준수하여야 합니다.
□
전용선 기반 암호화 통신을 전용선 기반 평문 통신으로 변경할 경우 이는 신규 전자금융업무를 수행하는 것으로 보아 자체 보안성 심의 후 금융감독원에 그 결과보고서를 제출하여야 할 것이며, 평문 통신 변환시 예상되는 정보처리, 업무절차 등에 대한 취약점, 비상대응 방안 등을 포함한 결과보고서를 제출하는 것이 바람직할 것으로 판단됩니다.
본문
요청 내용
ㅁ 동사와 일부 금융회사간 전자금융거래시 전용선 기반으로 암호화 통신을 하고 있는데, 전자금융감독규정 제36조 제1항에 따라 보안성심의를 거칠 경우 전용선 기반에서 암호화 통신을 수행하지 않아도 되는지 여부
ㅁ 상기 질의와 관련 자체 보안성심의 진행시 전자금융감독규정 제36조 제2항에 따라 보안성심의 결과보고서를 제출해야 하는지 여부 및 결과보고서 제출 시 어떤 항목에 대한 중점 검토가 필요한지 여부
판단 이유
□
금융회사는 전자금융거래시 암호화가 불가능한 경우를 제외한 전자금융거래는 암호화 통신을 하여야 하나, 전용선을 사용하는 경우로 자체 보안성심의를 실시한 경우에는 암호화 통신을 하지 않을 수 있습니다.(전자금융감독규정 제34조 제1항제1호)
□
기존 전용선 기반 암호화 통신에서 전용선 기반 평문 통신으로 변경할 경우에 이를 신규 전자금융거래 수행으로 볼 수 있으며, 자체 보안성심의 후 해당 결과보고서를 감독원에 제출하여야 하며(전자금융감독규정 제36조 제1항)
ㅇ
자체 보안성심의 결과보고서에는 통신방식 변경에 따라 예상되는 정보처리(송수신 등)·업무절차 관련 취약점 평가·보완, 기타 비상시 관련 대응방안 등을 포함하여 제출하는 것이 바람직할 것으로 판단됩니다.