금융회사와 사설 인증센터 간 인증정보 송수신시 암호화 적용 방식
금융안전과,금융데이터정책과 · 2023-03-09 · 의견번호 230054
회신
출처 · 원문 발췌
□
질의하신 내용만으로 명확하게 판단하기 어려우나
,
인터넷을 통한
SSL
접속 방식은
「
전자금융
감독규정
」
제
60
조제
1
항제
5
호를 위반할 소지가 있다고 판단됩니다
.
본문
요청 내용
□
자본시장법상 금융투자업자인 당사와 국내 포털업체의 인증센터 간 이용자 인증
정보
전송시 인터넷을 통해
SSL(Secure Sockets Layer)
인증 방식을 적용하는 것이 신
용
정보업감독규정 제
20
조 및 전자금융감독규정 제
60
조 제
1
항 제
5
호를 위반하는지 여부
판단 이유
□
금융투자업자는 신용정보법상 신용정보제공이용자로서 신용정보법 제
19
조
,
신용정보업
감독규정 제
20
조에 따라 정보통신망을 통해 개인신용정보 및 인증정보를 송수신할 경우 보안서버 구축 등의 조치를 통해 이를 암호화하여야 합니다
.
ㅇ
이 경우 보안서버는 웹서버에
SSL(Secure Sockets Layer)
인증서를 설치하거나
암호화 응용프로그램을 설치하여 개인신용정보를 암호화하여 송수신하는 기능을
갖추어야 합니다
.
ㅇ
질의하신 사항의 경우
SSL
인증 방식을 적용하여 인증정보를 송수신 하는 것이므로 신용정보업감독규정 제
20
조를 준수하는 것으로 판단됩니다
.
□
다만
,
질의하신 업무 절차에서 인증센터는 인증정보를 연계하는 시스템이 전자
금융거
래와 관련된 시스템인 경우 전자금융보조업자에 해당된다고 볼 수 있습니다
.
*
전자금융감독규정 제
3
조제
3
호에 따라 전자금융업무와 관련된 정보처리시스템을 해당 금융회사 또는 전자금융업자를 위하여 운영하는 사업자에 해당
□
또한
,
「
전자금융감독규정
」
제
60
조제
1
항제
5
호에 따라 금융회사는 금융회사와 전자금융
보조업자와의
접속
시 전용회선
(
전용회선과 동등한 보안수준을 갖춘 가상의 전용회선을 포함
)
을
사용하여야 합니다
.
ㅇ
여기서 전용회선이란 각 통신 지점을 연결하여 독점 사용하는 전기통신회선을
의미하는 것으로 금융회사는 인터넷 서비스 공급자가 제공하는 전용회선을 사용
할 수 있으며
,
ㅇ
전용회선과 동등한 보안수준을 갖춘
가상사설망
(VPN, Virtual Private Network)
기술을 이용하여 공
중망을 통해 독립적 네트워크 간 가상의 터널을 구성하고 암호화된 통신이 이뤄지도록 구성하는 것도 가능합니다
.
□
그러나
,
인터넷을 통한
SSL
접속 방식의 경우 통신회선을 전용하여 사용하는 것으로
볼 수 없으며
,
전용회선이나 가상사설망 접속방식과 달리
SSL
인증서 탈취를
통해 송
ㆍ
수신 정보를 복호화하는 등의 중간자 공격도 가능하다고 판단되므로 전
용
회선과 동등
한 보안수준으로
보기 어렵습니다
.
ㅇ
따라서
,
귀사가 문의하신 인터넷을 통한
SSL
접속 방식은
「
전자금융
감독규정
」
제
60
조제
1
항제
5
호를 위반할 소지가 있다고 판단됩니다
.
연결
관련 근거
더 찾아보기
첨부
법령해석 회신문(230054)-.hwpx다운로드 · 새 창기관 원문
금융안전과,금융데이터정책과에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.