NO-ACTION OPINION · 2698 비조치의견

정보보호최고책임자의 자격요건에 부합하는지 여부

금융위원회 · 2019-12-06

회신

출처 · 원문 발췌

｢전자금융거래법｣ 제 21 조의 2, 같은 법 시행령 제 11 조의 3 제 4 항에 따라

‘정보보호 또는 정보기술 (IT) 분야의 학사학위’ 를 취득한 후

‘2 년 이상 정보보호 분야 또는 3 년 이상 정보기술 (IT) 분야 업무를 수행한 경력’ 이 있는 사람의 경우 정보보호최고 책임자의 자격 요건을 충족하는 것으로 볼 수 있습니다 .

해당인은 정보 및 컴퓨터공학 학사학위를 취득하였기에 , ‘정보보호 또는 정보 기술 (IT) 분야의 학사학위를 취득한 것으로 사료되나 ,

질문하신 취지가 명확하지는 않으나 해당인이 개인정보보호법 및 기타 관련 법령상의 개인정보 보호책임자의 업무를 2 년 이상 수행한 것이라면 , 그것만으로 곧 전자금융거래법상 정보보호 분야 업무를 수행한 것이라고 단정하기는 어렵습니다 .

이에 해당인이 실제로 수행한 업무가 전자금융거래법상 정보보호 분야 업무 * 를 수행한 것인지 여부를 기준으로 하여 판단할 필요가 있습니다 . * 공공기관 , 민간기업 , 교육기관 등에서 수행하는

정보보호를 위한 공통기반 기술 분야 (암호기술 , 인증기술 등),

시스템 · 네트워크 보호 분야 ,

응용서비스 보호 분야 (전저거래 보호 , 응용서비스 보호 , 정보보호 표준화 등) 의 계획 · 분석 · 설계 · 개발 · 운영 · 유지보수 · 컨설팅 · 감리 또는 연구개발 업무 등

본문

요청 내용

정보보호최고책임자의 자격요건에 부합하는지 여부

아래의 자격을 가진 사람을 전자금융업자의

CISO

로 지정하고자 하는 경우

해당인이 전자금융거래법상 정보보호최고책임자의 자격요건에 부합하는지 질의

정보 및 컴퓨터공학 학사학위 취득

2 년 이상 당사 전자금융사업부의 개인정보 보호책임자 (CPO) 업무 수행

판단 이유

｢전자금융거래법｣ 제 21 조의 2, 같은 법 시행령 제 11 조의 3 제 4 항에 따라

‘정보보호 또는 정보기술 (IT) 분야의 학사학위’ 를 취득한 후

‘2 년 이상 정보보호 분야 또는 3 년 이상 정보기술 (IT) 분야 업무를 수행한 경력’ 이 있는 사람은 정보보호최고책임자의 자격 요건을 충족하는 것으로 볼 수 있습니다 .

먼저 , 해당인은 정보 및 컴퓨터공학 학사학위를 취득하였기에 , ‘정보보호 또는 정보 기술 (IT) 분야의 학사학위를 취득한 것으로 사료됩니다 . * ｢고등교육법｣ 에 따른 해당 학교에서

전자 관련 학과 ,

정보통신 관련 학과 , 정보보호 또는 정보처리기술 관련 학과의 과정을 이수하고 졸업한 경우 이에 해당

다만 , “정보보호 분야 업무” 란 정보보호를 위한 공통기반기술 분야 (암호 기술 , 인증 기술), 시스템 ㆍ 네트워크 보호 분야 (시스템 보호 , 해킹 ㆍ 바이러스 대응 , 네트워크 보호 등), 응용서비스 보호 분야 (전자거래 보호 , 응용서비스 보호 , 정보보호 표준화 등) 의 계획 ㆍ 분석 ㆍ 설계 ㆍ 개발 ㆍ 운영 ㆍ 유지보수 ㆍ 컨설팅 ㆍ 감리 또는 연구개발 업무 등을 의미합니다 (시행령 §11 의 3

별표 1).

전자금융거래법상 “정보보호” 란 전자금융거래의 안전성 확보 , 금융분야의 사이버 보안에 관한 업무 등을 의미하고 , 이는 개인정보보호법상 개인정보 보호책임자의 업무와는 차이가 있으므로 2 년 이상 개인정보 보호책임자의 업무를 수행한 것이 곧 전자금융거래법상 정보보호 분야 업무를 수행한 것이라고 단정하기는 어렵습니다 .

따라서 해당인이 실제로 수행한 업무가 시행령 제 11 조의 3 제 4 항 별표 1 에서 제시한 정보보호 분야 업무를 수행한 것인지 여부를 기준으로 하여 판단할 필요가 있습니다 .