협회가 전자금융거래와 상관없는 내부 업무용시스템에 대하여 인터넷 등 외부통신망과 분리‧차단을 하지 않은 것이 전자금융거래법을 위반한 것인지 여부
금융위원회,금융산업국,금융안전과 · 2020-03-12 · 의견번호 200051
회신
출처 · 원문 발췌
□
금융투자협회는
「
전자금융거래법
」
제
21
조
,
「
전자금융감독규정
」
제
15
조 등에
따른
안전성 확보 조치
를 해야 하는
금융회사에 해당
합니다
(
법
§1,
시행령
§2).
ㅇ
한편
,
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호 등에 따른 망분리 의무는 법 제
21
조
제
2
항을 근거로 금융회사 등의
안전성
확보
의무를 구체화
하고 있습니다
.
□
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호는 망분리 대상으로서
“
내부통신망과
연결된 내부 업무용시스템
”
의 개념이나 범위를 특별히 규정하고 있지는 않고 있는 바
,
동 규정의 의미
를 밝히는 경우
입법취지와 목적
,
제
·
개정 연혁 등
을 종합 고려하여
구체적 타당성을 기할 필요가 있습니다
.
ㅇ
동 규정은 대규모 금융전산사고 등을 배경으로 도입되었으며
,
금융회사
등의
내부망
·
시스템
의
악성코드 유입 등을 방지
하고
,
외부로의 정보유출을
사전에 차단
함으로써
,
전자금융거래의 신뢰성
·
안전성을 확보
하려는 데에 그
입법목적
이 있습니다
.
➊
따라서
,
금융회사나 전자금융업자가
전자금융업무를 부수적
으로 수행할 뿐
내부 업무용시스템에서 처리되는
주된 업무의 본질적 성격
이
전자금융업무의
수행과 관련이 없는
경우로서
,
➋
금융회사 등의
전자금융업무 수행
을 위한
정보처리시스템
이
외부망과
분리
·
차단
되어 있을 뿐만 아니라
,
위
➊
의
주된 업무를 처리하는 정보처리
시스템과도 서로 연계되지 않는
등
독립적으로 분리 구성
·
운영
됨으로써
전자금융
거래의 신뢰성
·
안전성 확보
에 영향을 미치지 않는 경우라면
,
-
전자금융업무가 아닌
주된 업무
를
처리하는
내부 업무용시스템
에 대해서는
특별한 사정이 없는 한
「
전자금융감독규정
」
제
15
조제
1
항제
3
호가 적용되지
않습니다
.
□
금융투자협회
의 경우
「
전자금융거래법
」
이 적용되지 않는 은행연합회
등
과
같은 이익단체적 성격을 가지면서
,
ㅇ
｢
자본시장과 금융투자업에 관한 법률
｣
(
이하
‘
자본시장법
’)
제
286
조 제
1
항 제
1
호 등에
따른
자율
규제 업무 등을 주된 업무
로
수행하고
,
전자금융업무로서
주권의
장외매매에
관한 업무
(K-OTC
운영
,
자본
시장법
286
조 제
1
항 제
5
호
)
등을 부수적인 업무로
수행
하고 있는 것으로 판단됩니다
.
□
따라서
,
질의하신 사실관계 만으로는 명확하게 판단하기는 어렵지만
,
부수적
으로 수행 중인
K-OTC
운영 업무 등을 제외
하면
,
금융
투자협회의
주된 업무
의
성격
이
전자금융업무라고 보기는 어려운 바
,
ㅇ
주된 업무
를 처리하는
내부업무용
시스템과
K-OTC
운영 시스템이
서로
연계되지
않고
독립적으로 분리 구성
·
운영
*
되는 등으로 인해 전자
금융거래의
안전성에
미치는 영향이 없는 경우라면
,
ㅇ
전
자
금융업무가 아닌 금융투자협회의 주된 업무
를 처리하는
내부 업무용
시스템
에 대하여까지
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호
가
적용되는 것은 아니라 할 것입니다
.
-
그렇다면
,
특별한 사정이 없는 한
금융투자협회가
「
전자금융거래법
」
제
21
조
제
2
항에 따른
안전성 확보 의무를 이행하지 않았다고 보기는 어렵습니다
.
본문
요청 내용
주권의 장외매매에 관한 업무
(K-OTC)
외의 전자금융업무를 수행하지
않는
금융
투자협회
가
K-OTC
호가중개시스템 및 관련 업무용 단말기에 대한 업무망
분리를 이미 모두 완료한 상태
에서 전자금융업무와 무관한
기타
내부
정보처리
시스템에 대해 전자금융감독규정 제
15
조제
1
항제
3
호에 따른 조치를 하지
않은 것
이
전자금융거래법 제
21
조 제
2
항에 따른 전자금융거래의 안정성과 신뢰성
확보 의무를
이행하지 아니한 것에 해당하는지 여부
판단 이유
1.
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호의 의미
□
「
전자금융거래법
」
은
제
2
조에서 수범 주체인
금융회사 등의 범위
를
정하고
제
3
조 및 시행령 제
5
조에서
전자금융업무를 하지 않는 특정 금융회사
등에
한해
안전성 확보의무 등 일부 조항
의
적용
을
배제
하고 있을 뿐이므로
,
ㅇ
전자금융업무
(
법 제
2
조 제
1
호 전단
)
를 수행하는
금융회사 등
의 경우
IT
관련 사항을
포함한
금융회사 등의 업무 전반
에는
법 제
21
조 제
2
항의
안전성
확보의무
가
적용
됩니다
.
□
또한
,
「
전자금융감독규정
」
은 법 제
21
조 제
2
항을 근거로 금융회사 등의 안전성
확보
의무를 구체화한 것인바
,
ㅇ
동 규정상의
망분리
의무는
금융회사 및 전자금융업자의 전자금융거래 시스템
(
규정 제
15
조 제
1
항 제
5
호
),
내부통신망과 연결된
내부 업무용시스템에도
모두
적용
(
규정 제
15
조 제
1
항 제
3
호
)
된다고 할 것입니다
.
□
이 경우
,
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호는 망분리 대상으로서
“
내부
통신망과 연결된 내부 업무용시스템
”
의 개념이나 범위를 특별히 규정하고 있지는 않습니다
.
ㅇ
그런데
,
동 조항을 문언적 의미만을 기초로 예외 없이 해석
·
적용할 경우
,
정보통신서비스 사업 부문의 비중이 높은 일부 전자금융업자
등은
전자금융업의
수행과 무관한
정보통신 서비스 사업 부문
에까지
망분리의 적용
범위가 제한
없이 확장
되는 불합리가 발생합니다
.
ㅇ
대법원 판례
*
에 따르면
, “
법해석의 목표
는
법적 안정성
을 저해하지 않는
범위 내에서
구체적 타당성
을 찾는 데 두어야
”
하므로
,
동 조항을 해석
·
적용함에 있어서도 입법취지
·
목적
,
제
·
개정 연혁 등을 고려해
구체적 타당성
을 기할 필요가 있습니다
.
*
(
대법원
2009.4.23.
선고
, 2006
다
81035
판결
)
법해석의 목표는 어디까지나 법적
안정성을 저해하지 않는 범위 내에서 구체적 타당성을 찾는 데 두어야 한다
...
문언의 통상적인 의미에 충실
하는 것을
원칙으로 하고
,
나아가
법률의 입법취지와 목적
,
그 제
·
개정 연혁
,
법질서 전체와의 조화
,
다른 법령
과의
관계 등을 고려하는 체계적
·
논리적 해석방법을 추가적으로 동원
함으로써
,
앞서 본 법해석의 요청에
부응하는 타당한 해석이 되도록 노력하여야 한다
.
□
「
전자금융감독규정
」
제
15
조는
'13. 3. 20.
발생한 금융회사 등의
대규모 전산망 마비 사고
*
를 배경으로
‘
공공부문
’
의
망분리 제도
를
‘
금융분야
’
에 도입한 것이 그 계기
가 되었습니다
.
*
농협
·
신한
·
제주은행 및
KBS·MBC·YTN
의 전산망이 악성코드에 감염
,
상당수의
PC
가 마비
,
정보유출
·
자료파괴 사고가 발생
ㅇ
‘
13
년에
금융회사 등
의
망분리를 의무화
한 이후
,
’15
년
에는
업무상
대외 기관과
연결이 불가피한 경우 등에 있어 정보유출 방지
대책 등을 갖출 것을 바탕으로
망분리의 예외를 인정
함으로써
금융회사
등의 망분리 부담을 일부 경감
한 바 있습니다
.
ㅇ
이러한 입법배경
·
연혁 등을 종합적으로 고려할때
동 규정은 금융회사 등의
내부망
·
시스템
의
악성
코드 유입 등을
방지
하고
,
외부로의 정보유출을 사전에 차단
함으로써
,
전자금융거래의
신뢰성
·
안전성을 확보
(
법
§21
①
,
②
)
하는 것에 그
입법목적
이 있다고 할 수 있으며
,
-
이는
금융회사 등의
주된 업무의 본질적 성격이 금융업이나 전자금융업무의
수행과 관련
이
있다는 것을 전제로 한 것으로 판단됩니다
(
법 제
1
조 내지 제
3
조
)
.
□
위와 같이
「
전자금융감독규정
」
제
15
조
문언의 통상적 의미
,
입법취지와 목적
,
제
·
개정
연혁 등
에 비추어 본다면
,
➊
내부 업무용시스템에서 처리되는
주된 업무의 본질적 성격
이
전자금융
업무의
수행과 관련이 없고
,
➋
금융회사 등의 전자금융업무와 관련한 정보처리시스템은
외부망과
분리
·
차단
되어 있을 뿐만 아니라
,
위
➊
의
주된
업무를 처리하는 정보
처리시스템과도
서로 연계되지 않는
등
독립적으로 분리 구성
·
운영
됨으로써
전자금융거래의
신뢰성
·
안전성 확보
에 영향을 미치지 않는 경우라면
-
전자금융업무가 아닌
주된 업무
를
처리하는
내부 업무용시스템
에 대해서는
특별한 사정이 없는 한
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호가 적용되지 않습니다
.
2.
「
전자금융감독규정
」
제
15
조 제
1
항 제
3
호의 적용과 관련한 금융투자협회 업무의 특수성
□
원칙적으로 금융투자협회는
「
전자금융거래법
」
제
21
조
,
「
전자금융감독규정
」
제
15
조에 따른
안전성 확보 조치
를 해야하는 의무대상인
금융회사 등에 해당
합니다
(
법 제
1
조
).
ㅇ
그런데
,
금융투자협회는 기본적으로
은행연합회 등
과
같은 이익단체적 성격을 가지면서
,
자본시장법 제
286
조에
근거하여 정관이 정하는 바에 따라
분쟁의 자율조정
,
자율규제업무
(
자본시장법 제
286
조 제
1
항 제
1
호 내지 제
2
호
)
,
연수업무
(
자본
시장법 제
286
조 제
1
항 제
8
호
)
등
고유업무를 수행
하고 있습니다
.
ㅇ
또한
,
특별하게
주권의 장외매매에 관한 업무
(K-OTC
운영
,
(
자본시장법 제
286
조 제
1
항 제
5
호
)
를
부수적인 업무
로 수행하고 있는 것으로 판단됩니다
.
□
일반적으로 은행 등 금융회사
는
정보통신 사업을 영위하면서
전자금융업무를
부수적
으로 수행하는
일부 전자
금융업자
등과는 달리
ㅇ
그 업무의
본질적 성격이 금융업이나 전자금융업무의 수행
에 있으므로
,
특별한 사정이 없는 한 위
➊
의 요건을 충족하는 경우
*
를 상정하기 어렵다
하겠으나
,
금융투자협회
는 자본시장법에 따라 업무가 법정화된 단체로서 그
주된 업무
가 전자금융업무를 수행하는
일반 금융회사와는 다른 특징
이 있습니다
.
□
결론적으로
질의하신 사실관계만으로는 명확하게 판단하기는 어렵지만
,
부수적으로 수행 중인
K-OTC
운영 업무 등을 제외
한
,
금융투자협회의
주된 업무
의
본질적 성격
은
‘
전자금융업무
’
라고 보기는 어렵습니다
.
ㅇ
따라서
,
금융투자협회의
주된 업무
를 처리하는
내부업무용
시스템과
K-OTC
운영
시스템이
서로 연계되지 않고
독립적으로 분리
구성
·
운영
*
되는 등으로 인해
전자금융거래의 안전성에 미치는 영향이 없는
경우라면
,
*
K-OTC
업무를 영위하기 위한 전산시스템
(“K-OTC
호가중개시스템
”)
과 기타 내부 정보처리시스템 간의
망분리 및
K-OTC
호가중개시스템과 외부통신망간의 물리적 망분리를 완료하는 등 해당 시스템을 운용
하는 임직원
·
부서에 대한 망분리 체계 유지 등
ㅇ
전
자
금융업무가 아닌 금융투자협회의 주된 업무
를 처리하는 내부업무용 시스템에 대하여까지
「
전자금융
감독규정
」
제
15
조 제
1
항 제
3
호가
적용
되는 것은 아니라 할 것입니다
.
-
그렇다면
,
특별한 사정이 없는 한
금융투자협회가
「
전자금융거래법
」
제
21
조
제
2
항에 따른
안전성 확보 의무를 이행하지 않았다고 보기는 어렵습니다
.
연결
관련 근거
더 찾아보기
첨부
법령해석회신문(200051) -.hwp다운로드 · 새 창기관 원문
금융위원회,금융산업국,금융안전과에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.