질의하신 내용만으로 명확하게 판단하기 어려우나 , 인터넷을 통한 SSL 접속 방식은 「전자금융 감독규정」 제 60 조제 1 항제 5 호를 위반할 소지가 있다고 판단됩니다 .
본문
요청 내용
□
자본시장법상 금융투자업자인 당사와 국내 포털업체의 인증센터 간 이용자 인증 정보 전송시 인터넷을 통해 SSL(Secure Sockets Layer) 인증 방식을 적용하는 것이 신 용 정보업감독규정 제 20 조 및 전자금융감독규정 제 60 조 제 1 항 제 5 호를 위반하는지 여부
판단 이유
□
금융투자업자는 신용정보법상 신용정보제공이용자로서 신용정보법 제 19 조 , 신용정보업 감독규정 제 20 조에 따라 정보통신망을 통해 개인신용정보 및 인증정보를 송수신할 경우 보안서버 구축 등의 조치를 통해 이를 암호화하여야 합니다 .
ㅇ
이 경우 보안서버는 웹서버에 SSL(Secure Sockets Layer) 인증서를 설치하거나 암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송수신하는 기능을 갖추어야 합니다 .
ㅇ
질의하신 사항의 경우 SSL 인증 방식을 적용하여 인증정보를 송수신 하는 것이므로 신용정보업감독규정 제 20 조를 준수하는 것으로 판단됩니다 .
□
다만 , 질의하신 업무 절차에서 인증센터는 인증정보를 연계하는 시스템이 전자 금융거 래와 관련된 시스템인 경우 전자금융보조업자에 해당된다고 볼 수 있습니다 . * 전자금융감독규정 제 3 조제 3 호에 따라 전자금융업무와 관련된 정보처리시스템을 해당 금융회사 또는 전자금융업자를 위하여 운영하는 사업자에 해당
□
또한 , 「전자금융감독규정」 제 60 조제 1 항제 5 호에 따라 금융회사는 금융회사와 전자금융 보조업자와의 접속 시 전용회선 (전용회선과 동등한 보안수준을 갖춘 가상의 전용회선을 포함) 을 사용하여야 합니다 .
ㅇ
여기서 전용회선이란 각 통신 지점을 연결하여 독점 사용하는 전기통신회선을 의미하는 것으로 금융회사는 인터넷 서비스 공급자가 제공하는 전용회선을 사용 할 수 있으며 ,
ㅇ
전용회선과 동등한 보안수준을 갖춘 가상사설망 (VPN, Virtual Private Network) 기술을 이용하여 공 중망을 통해 독립적 네트워크 간 가상의 터널을 구성하고 암호화된 통신이 이뤄지도록 구성하는 것도 가능합니다 .
□
그러나 , 인터넷을 통한 SSL 접속 방식의 경우 통신회선을 전용하여 사용하는 것으로 볼 수 없으며 , 전용회선이나 가상사설망 접속방식과 달리 SSL 인증서 탈취를 통해 송 ㆍ 수신 정보를 복호화하는 등의 중간자 공격도 가능하다고 판단되므로 전 용 회선과 동등 한 보안수준으로 보기 어렵습니다 .
ㅇ
따라서 , 귀사가 문의하신 인터넷을 통한 SSL 접속 방식은 「전자금융 감독규정」 제 60 조제 1 항제 5 호를 위반할 소지가 있다고 판단됩니다 .
연결
문서 기준 관련 조문·시행본
원문에서 법령 인용은 확인됐지만 해당 조문 본문과 문서 기준 시행본의 자동 대조가 끝나지 않은 항목입니다. 확정 연결로 해석하지 마세요.