신규 서비스 적용 전 인프라 성능 테스트 및 데이터 정합성 검증을 위해 DR시스템 활용 및 이용자 정보의 사용이 가능한지 여부

회신

출처 · 원문 발췌

□ 아래 내용을 참고하시기 바랍니다.

본문

요청 내용

□ 금융회사가 신규 서비스 이행 전 성능 테스트 및 데이터 정합성 검증을 위하여 재해복구시스템 내 백업원장*을 활용한 테스트 환경을 임시로 구축하고 이용자 정보를 변환하지 않고 사용할 경우 「전자금융감독규정」 제13조제1항제10호 위반에 따른 조치대상에 해당하는지 여부

* 전자금융감독규정 제23조제8항에 따라 구축한 재해복구시스템 내 백업된 전산원장부재

판단 이유

□ 전자금융감독규정 제13조제1항제10호는 테스트시 이용자 정보의 사용을 원칙적으로 금지하고 있고,

o 다만, 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하되 테스트 종료 즉시 삭제하도록 규정하고 있습니다.

□ 문의하신 사실관계 하에서 귀 사의 신규 서비스는 기존 전자금융서비스에 영향을 미칠 수 있는 중대한 변경으로 보이므로,

o 서비스 이행 전에 실제와 유사한 환경에서 다양한 가상의 거래를 발생시켜서 안정적인 서비스 제공이 가능한지 여부를 충분하게 검증할 필요가 있고,

이때 변환된 이용자 정보로 테스트를 수행할 경우 ①실제 거래 대비 데이터처리량이 현저히 적거나 많아져서 정확한 성능 측정이 어려운 점과 ②다른 원장과 연계되는 일부 데이터 항목의 정합성 문제로 인하여 발생조건이 복합적인 거래에 대한 검증이 어려운 점 등을 고려하면,

o 귀 사가 실효성 있는 테스트를 위하여 미변환된 이용자 정보를 사용하는 것은 전산자료의 유출을 방지하고 전자금융거래 안전성을 확보하고자 하는 상기 규정의 취지에 어긋나지 않는 것으로 보입니다.

o 또한, 테스트 서버 등을 별도로 구축하는 일반적인 테스트 환경과 마찬가지로 본 건 테스트 수행이 귀 사의 기존 서비스 운영 및 재해복구기능에 어떠한 영향도 미치지 않는다는 전제 하에 허용될 수 있을 것으로 보입니다.

□ 따라서 귀 사가 데이터 정합성 검증에 필요한 최소한의 범위와 기간 내에서 이용자 정보를 사용한 후 즉시 삭제하는 한편,

o 테스트 환경에 대하여 실제 운영환경과 동일한 수준의 보안 대책*을 적용하는 등 정보유출을 방지하기 위한 적절한 내부통제기준을 적용하고,

* 비인가 전산장비·무선통신 접속 통제, 해킹 방지대책, 악성코드 감염 방지 대책, 사용자 권한 및 비밀번호 설정·운영, 이용자 비밀번호 암호화 등

o 테스트로 인한 기존 서비스 영향도 등을 충분하게 검토하여 안전한 테스트 환경을 구성한 경우, 본 건 요청대상행위를 전자금융감독규정 제13조제1항제10호 위반으로 조치하지 않습니다.

연결

관련 근거

더 찾아보기

첨부

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색