전자금융감독규정 제60조 1항 1호 “외부주문” 및 “전산설비” 해석 문의

□  당행의 외주개발직원은 씨티은행 건물에 상주하며 당행에서 제공하는 씨티은행 전용 PC를 사용하여 개발을 지원하고 있고, 망분리 규정에 따라 모든 외주직원 포함 전산직원의 인터넷 접속이 차단되었으며 현장관리인 및 담당관리자의 점검을 통해 보안이 통제되고 있음

□  또한 당행은 시스템 환경을 가) 실환경, 나) 사용자테스트용 환경, 다) 개발환경으로 나누어 외주 포함 모든 개발직원이 다) 개발환경 이외의 다른 환경에는 접속하지 못하도록 개발자의 실환경 접근관리 규정에 따라 엄격히 통제되고 있음

○  그리고 위의 가), 나), 다) 환경은 모두 물리적으로 분리되어 있어 개발자가 가) 실환경 및 나) 사용자테스트용 환경에 접근할 수 있는 방법은 없음

(1)  당행의 위와 같은 통제 방법이 「전자금융감독규정」 제60조 제1항제1호(외부주문 등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치, 운영)를 준수한다고 볼 수 있는지

(2)  ‘개발업무에 사용되는 전산설비를 내부업무용과 분리’하라는 의미가 외주 개발 직원이 당행 네트워크에 직접 접속하지 못하도록 망을 분리하고 별도의 개발환경을 마련해야 한다는 것인지

(3)  위의 ‘외부 주문 등에 의한 정보처리시스템 개발’이 유지보수를 위해 상주하는 경우를 제외하고 프로젝트만을 의미하는 것인지

(1)  주어진 조건에서 개발업무에 필요한 인적·물적 시설이 칸막이, 별도 공간 등 외부에서 인지 가능한 수준으로 내부업무용과 분리되어 있고, 현장관리인 및 담당관리자의 점검을 통해 접근통제, 인적통제 등의 내부통제가 이루어진다면 「전자금융감독규정」 제60조 제1항제1호를 준수하는 것으로 볼 수 있습니다.

(2)  외주 개발 직원이 내부 업무용시스템에 접속하지 못하도록 망을 분리하고, 별도의 개발환경을 마련하여 내부 업무용시스템에 대한 비인가자의 접근을 원천적으로 차단하는 경우 ‘개발업무에 사용되는 전산설비를 내부업무용과 분리’한 것으로 볼 수 있습니다.

(3)  「전자금융감독규정」 제60조 제1항제1호의 ‘외부주문 등에 의한 정보처리시스템 개발’의 경우 정보처리시스템에 대한 유지보수를 위해 상주하는 것은 제외됩니다.

(1)  「전자금융감독규정」 제60조 제1항제1호는 외부주문에 의한 정보시스템 개발업무에 사용되는 공간을 내부 업무장소와 분리하여 운영하도록 하고, 개발업무에 사용되는 전산설비는 내부 업무용 시스템과 분리하도록 함으로써 중요정보 유출, 부주의, 관리소홀로 인한 사고 등을 방지하고 이에 따른 책임을 명확히 하기 위함입니다.

(2)  개발업무에 사용되는 전산설비를 내부업무용과 분리하라는 의미는 외주 개발 직원이 내부 업무용 시스템에 직접 접속하지 못하도록 함으로써 비인가자의 접근을 원천적으로 차단하려는 것입니다. 이는 보안 취약요인을 사전에 차단하고 보안이 취약한 개발시스템으로부터 내부 업무망으로의 악성코드 전이, 접근통로 이용 등을 차단하기 위함입니다.

(3)  「전자금융감독규정」 제60조 제1항제1호는 정보처리시스템 개발업무와 관련하여 준수하여야 사항이며, 유지보수를 위한 업무에까지 적용되는 규정은 아닙니다.