협회가 전자금융거래와 상관없는 내부 업무용시스템에 대하여 인터넷 등 외부통신망과 분리‧차단을 하지 않은 것이 전자금융거래법을 위반한 것인지 여부

「전자금융거래법」 은 제 2 조에서 수범 주체인 금융회사 등의 범위를 정하고 제 3 조 및 시행령 제 5 조에서 전자금융업무를 하지 않는 특정 금융회사 등에 한해 안전성 확보의무 등 일부 조항의 적용을 배제 하고 있을 뿐이므로 ,

전자금융업무 (법 제 2 조 제 1 호 전단) 를 수행하는 금융회사 등의 경우 IT 관련 사항을 포함한 금융회사 등의 업무 전반 에는 법 제 21 조 제 2 항의 안전성 확보의무가 적용 됩니다 .

또한 , 「전자금융감독규정」 은 법 제 21 조 제 2 항을 근거로 금융회사 등의 안전성 확보 의무를 구체화한 것인바 ,

동 규정상의 망분리 의무는 금융회사 및 전자금융업자의 전자금융거래 시스템 (규정 제 15 조 제 1 항 제 5 호), 내부통신망과 연결된 내부 업무용시스템에도 모두 적용 (규정 제 15 조 제 1 항 제 3 호) 된다고 할 것입니다 .

이 경우 , 「전자금융감독규정」 제 15 조 제 1 항 제 3 호는 망분리 대상으로서 “내부 통신망과 연결된 내부 업무용시스템” 의 개념이나 범위를 특별히 규정하고 있지는 않습니다 .

그런데 , 동 조항을 문언적 의미만을 기초로 예외 없이 해석 · 적용할 경우 , 정보통신서비스 사업 부문의 비중이 높은 일부 전자금융업자 등은 전자금융업의 수행과 무관한 정보통신 서비스 사업 부문 에까지 망분리의 적용 범위가 제한 없이 확장 되는 불합리가 발생합니다 .

대법원 판례 * 에 따르면 , “법해석의 목표는 법적 안정성을 저해하지 않는 범위 내에서 구체적 타당성을 찾는 데 두어야” 하므로 , 동 조항을 해석 · 적용함에 있어서도 입법취지 · 목적 , 제 · 개정 연혁 등을 고려해 구체적 타당성을 기할 필요가 있습니다 . * (대법원 2009.4.23. 선고 , 2006 다 81035 판결) 법해석의 목표는 어디까지나 법적 안정성을 저해하지 않는 범위 내에서 구체적 타당성을 찾는 데 두어야 한다 ... 문언의 통상적인 의미에 충실 하는 것을 원칙으로 하고 , 나아가 법률의 입법취지와 목적 , 그 제 · 개정 연혁 , 법질서 전체와의 조화 , 다른 법령 과의 관계 등을 고려하는 체계적 · 논리적 해석방법을 추가적으로 동원 함으로써 , 앞서 본 법해석의 요청에 부응하는 타당한 해석이 되도록 노력하여야 한다 .

「전자금융감독규정」 제 15 조는 '13.3.20. 발생한 금융회사 등의 대규모 전산망 마비 사고 * 를 배경으로 ‘공공부문’ 의 망분리 제도를 ‘금융분야’ 에 도입한 것이 그 계기가 되었습니다 . * 농협 · 신한 · 제주은행 및 KBS·MBC·YTN 의 전산망이 악성코드에 감염 , 상당수의 PC 가 마비 , 정보유출 · 자료파괴 사고가 발생

‘13 년에 금융회사 등의 망분리를 의무화 한 이후 ,’15 년 에는 업무상 대외 기관과 연결이 불가피한 경우 등에 있어 정보유출 방지 대책 등을 갖출 것을 바탕으로 망분리의 예외를 인정 함으로써 금융회사 등의 망분리 부담을 일부 경감 한 바 있습니다 .

이러한 입법배경 · 연혁 등을 종합적으로 고려할때 동 규정은 금융회사 등의 내부망 · 시스템의 악성 코드 유입 등을 방지 하고 , 외부로의 정보유출을 사전에 차단 함으로써 , 전자금융거래의 신뢰성 · 안전성을 확보 (법 §21

위와 같이 「전자금융감독규정」 제 15 조 문언의 통상적 의미 , 입법취지와 목적 , 제 · 개정 연혁 등에 비추어 본다면 , ➊ 내부 업무용시스템에서 처리되는 주된 업무의 본질적 성격이 전자금융 업무의 수행과 관련이 없고 , ➋ 금융회사 등의 전자금융업무와 관련한 정보처리시스템은 외부망과 분리 · 차단 되어 있을 뿐만 아니라 , 위 ➊ 의 주된 업무를 처리하는 정보 처리시스템과도 서로 연계되지 않는 등 독립적으로 분리 구성 · 운영 됨으로써 전자금융거래의 신뢰성 · 안전성 확보에 영향을 미치지 않는 경우라면 - 전자금융업무가 아닌 주된 업무를 처리하는 내부 업무용시스템에 대해서는 특별한 사정이 없는 한 「전자금융감독규정」 제 15 조 제 1 항 제 3 호가 적용되지 않습니다 .

원칙적으로 금융투자협회는 「전자금융거래법」 제 21 조 , 「전자금융감독규정」 제 15 조에 따른 안전성 확보 조치를 해야하는 의무대상인 금융회사 등에 해당 합니다 (법 제 1 조).

그런데 , 금융투자협회는 기본적으로 은행연합회 등과 같은 이익단체적 성격을 가지면서 , 자본시장법 제 286 조에 근거하여 정관이 정하는 바에 따라 분쟁의 자율조정 , 자율규제업무 (자본시장법 제 286 조 제 1 항 제 1 호 내지 제 2 호) , 연수업무 (자본 시장법 제 286 조 제 1 항 제 8 호) 등 고유업무를 수행 하고 있습니다 .

또한 , 특별하게 주권의 장외매매에 관한 업무 (K-OTC 운영 , (자본시장법 제 286 조 제 1 항 제 5 호) 를 부수적인 업무로 수행하고 있는 것으로 판단됩니다 .

일반적으로 은행 등 금융회사는 정보통신 사업을 영위하면서 전자금융업무를 부수적으로 수행하는 일부 전자 금융업자 등과는 달리

그 업무의 본질적 성격이 금융업이나 전자금융업무의 수행에 있으므로 , 특별한 사정이 없는 한 위 ➊ 의 요건을 충족하는 경우 * 를 상정하기 어렵다 하겠으나 , 금융투자협회는 자본시장법에 따라 업무가 법정화된 단체로서 그 주된 업무가 전자금융업무를 수행하는 일반 금융회사와는 다른 특징이 있습니다 .

결론적으로 질의하신 사실관계만으로는 명확하게 판단하기는 어렵지만 , 부수적으로 수행 중인 K-OTC 운영 업무 등을 제외 한 , 금융투자협회의 주된 업무의 본질적 성격은 ‘전자금융업무’ 라고 보기는 어렵습니다 .

따라서 , 금융투자협회의 주된 업무를 처리하는 내부업무용 시스템과 K-OTC 운영 시스템이 서로 연계되지 않고 독립적으로 분리 구성 · 운영 * 되는 등으로 인해 전자금융거래의 안전성에 미치는 영향이 없는 경우라면 , * K-OTC 업무를 영위하기 위한 전산시스템 (“K-OTC 호가중개시스템”) 과 기타 내부 정보처리시스템 간의 망분리 및 K-OTC 호가중개시스템과 외부통신망간의 물리적 망분리를 완료하는 등 해당 시스템을 운용 하는 임직원 · 부서에 대한 망분리 체계 유지 등

전 자 금융업무가 아닌 금융투자협회의 주된 업무를 처리하는 내부업무용 시스템에 대하여까지 「전자금융 감독규정」 제 15 조 제 1 항 제 3 호가 적용 되는 것은 아니라 할 것입니다 . - 그렇다면 , 특별한 사정이 없는 한 금융투자협회가 「전자금융거래법」 제 21 조 제 2 항에 따른 안전성 확보 의무를 이행하지 않았다고 보기는 어렵습니다 .