신규 서비스 적용 전 인프라 성능 테스트 및 데이터 정합성 검증을 위해 DR시스템 활용 및 이용자 정보의 사용이 가능한지 여부

금융회사가 신규 서비스 이행 전 성능 테스트 및 데이터 정합성 검증을 위하여 재해복구시스템 내 백업원장*을 활용한 테스트 환경을 임시로 구축하고 이용자 정보를 변환하지 않고 사용할 경우 「전자금융감독규정」 제13조제1항제10호 위반에 따른 조치대상에 해당하는지 여부 * 전자금융감독규정 제23조제8항에 따라 구축한 재해복구시스템 내 백업된 전산원장부재

전자금융감독규정 제13조제1항제10호는 테스트시 이용자 정보의 사용을 원칙적으로 금지하고 있고, o 다만, 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하되 테스트 종료 즉시 삭제하도록 규정하고 있습니다.

문의하신 사실관계 하에서 귀 사의 신규 서비스는 기존 전자금융서비스에 영향을 미칠 수 있는 중대한 변경으로 보이므로, o 서비스 이행 전에 실제와 유사한 환경에서 다양한 가상의 거래를 발생시켜서 안정적인 서비스 제공이 가능한지 여부를 충분하게 검증할 필요가 있고, 이때 변환된 이용자 정보로 테스트를 수행할 경우 ①실제 거래 대비 데이터처리량이 현저히 적거나 많아져서 정확한 성능 측정이 어려운 점과 ②다른 원장과 연계되는 일부 데이터 항목의 정합성 문제로 인하여 발생조건이 복합적인 거래에 대한 검증이 어려운 점 등을 고려하면, o 귀 사가 실효성 있는 테스트를 위하여 미변환된 이용자 정보를 사용하는 것은 전산자료의 유출을 방지하고 전자금융거래 안전성을 확보하고자 하는 상기 규정의 취지에 어긋나지 않는 것으로 보입니다. o 또한, 테스트 서버 등을 별도로 구축하는 일반적인 테스트 환경과 마찬가지로 본 건 테스트 수행이 귀 사의 기존 서비스 운영 및 재해복구기능에 어떠한 영향도 미치지 않는다는 전제 하에 허용될 수 있을 것으로 보입니다.

따라서 귀 사가 데이터 정합성 검증에 필요한 최소한의 범위와 기간 내에서 이용자 정보를 사용한 후 즉시 삭제하는 한편, o 테스트 환경에 대하여 실제 운영환경과 동일한 수준의 보안 대책*을 적용하는 등 정보유출을 방지하기 위한 적절한 내부통제기준을 적용하고, * 비인가 전산장비·무선통신 접속 통제, 해킹 방지대책, 악성코드 감염 방지 대책, 사용자 권한 및 비밀번호 설정·운영, 이용자 비밀번호 암호화 등 o 테스트로 인한 기존 서비스 영향도 등을 충분하게 검토하여 안전한 테스트 환경을 구성한 경우, 본 건 요청대상행위를 전자금융감독규정 제13조제1항제10호 위반으로 조치하지 않습니다.