금융회사 등은 전자금융거래와 관련이 없는 업무라 할지라도 클라우드컴퓨팅서비스를 이용하여 업무를 처리하고자 하는 경우에는 ｢전자금융감독규정｣ 제 14 조의 2 에 따른 클라우드컴퓨팅서비스 이용절차 등을 준수하여야 합니다 .
본문
요청 내용
□
전자금융업무를 수행하는 금융회사가 전자금융거래와 관련이 없는 업무와 관련하여 클라우드 시스템을 사용하려고 하는 경우도 전자금융감독규정 (특히 , 그 중 에서도 클라우드컴퓨팅서비스 이용절차 등에 관한 제 14 조의 2 규정) 이 적용되는지 ? 만약 적용되지 않는다면 클라우드 시스템의 전자금융거래와 관련성 (즉 , 전자금융감독규정 적용여부) 을 판단하는 구체적인 기준은 무엇인지 ?
판단 이유
□
지난 ‘18.7 월 「전자금융감독규정」 개정을 통해 금융분야 클라우드 이용을 확대한 바 , 금융권의 인공지능 (AI) ․ 클라우드 등 디지털 신기술을 활용하는 사례가 증가하고 있습니다 .
ㅇ
하지만 금융회사의 클라우드 활용 증가로 제 3 자 리스크 (Operational Risk of Third Party) 또한 증대되고 있으며 , 클라우드 사업자의 장애가 금융회사뿐만 아니라 전체 금융 인프라에 대한 집중 리스크 (Cloud Provider Concentration Risk) 로 작용할 수도 있습니다 .
□
금융회사 등이 클라우드 관련 리스크를 관리할 수 있도록 클라우드 이용가이드에서 대응방안을 제시하는 한편 , ‘18.7 월 「전자금융감독규정」 개정시 금융회사와 전자금융업자가 클라우드컴퓨팅서비스를 통해 이용하려는 정보처리시스템에 대해 준수하여야할 절차를 마련하였습니다 .
ㅇ
이 때 클라우드컴퓨팅서비스의 이용대상이 되는 정보처리시스템은 전자금융업무를 포함하여 정보기술부문에 사용되는 하드웨어 (hardware) 와 소프트웨어 (software) 를 말하며 관련 장비를 포함합니다 .(「전자금융감독규정」 §2)
□
또한 , 현행 「전자금융거래법」 제 21 조제 2 항에서는 전자금융거래의 안전성 확보를 위해 금융회사 및 전자금융업자로 하여금 전자금융업 뿐만 아니라 일반 정보기술 (IT) 부분 업무에 대해서도 일정한 기준을 준수하도록 규정하고 있는 바 , * 금융회사등은 전자금융거래의 안전성과 신뢰성을무 뿐만 아니라 일반 정보기술 (IT) 부문 업무에 대해서도 일정한 기준을 준수하 확보할 수 있도록 전자적 전송이나 처리를 위한 건물 , 설비 , 전산실 등 시설 부문과 단말기 , 전산자료 , 정보처리시스템 및 정보통신망 등 정보기술부문 등의 기준을 마련 (전자금융거래법 §21
②
, 전자금융감독규정 §7)
ㅇ
귀 사께서 전자금융거래와 직접적으로 관련이 없는 업무라도 클라우드컴퓨팅서비스 등 정보기술 (IT) 을 이용하여 업무를 처리하고자 하는 경우 「전자금융감독규정」 제 14 조의 2 에 따른 클라우드컴퓨팅서비스 이용절차 등을 준수하여야 합니다 . ※ 참고사항으로 첨부하신 비조치의견서 (‘19.12.23. 회신) 는 금융회사 임직원의 HR 정보를 클라우드 컴퓨팅서비스로 위탁시 「전자금융감독규정」 제 14 조의 2 를 준수하되 , 제 14 조의 2 제 3 항의 고유식별정보 또는 개인신용정보에 해당하지 않아 , 동조 제 3 항 및 제 8 항은 적용되지 않는다는 것임을 알려드립니다 .