법령해석/비조치의견서 요청서

금융회사 또는 전자금융업자는 ｢전자금융감독규정(이하 ‘규정’)」 제15조 제1항 제5호에 따라 전산실 내에 있는 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에서 대해 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하고, 업무 특성상 분리하기 어렵다고 금융감독원장이 인정하는 경우*에는 분리하지 아니하여도 됩니다. * 물리적 망분리 적용 예외(전자금융감독규정 시행세칙 §2의2②)

귀사가 제출한 망 구성 관련 자료를 검토한 결과, 전산실 내 개발용 정보처리시스템(단말기 포함)과 인터넷망(경영지원망)에 위치한 핀테크 개발시스템(단말기 포함)이 물리적으로 분리되어 있어 규정상의 의무를 충족한 것으로 판단됩니다.

또한, 핀테크 개발시스템과 동 개발시스템에 연결된 단말기의 경우 규정에 따른 ‘전산실*’에 해당하지 않으므로 물리적 망분리 규제대상에 해당하지 않습니다. * 망분리 규정 개정 당시(‘13.12월), ‘전산실’에 대해서는 물리적 망분리를, ‘본점·영업점’에 대해서는 논리적 망분리를 의무화하였고, 여기서 전산실이란 업무망으로만 연결된 내부 업무시스템들이 위치한 ‘전산센터’를 의미

다만, 동 개발시스템은 규정상 ‘정보처리시스템*에 해당’하고 개발시스템의 결과물(예시 : 소스코드, 모바일 앱 등)은 ‘전산자료**에 해당’하므로, 정보처리시스템 보호대책 및 전산자료 보호대책 등 규정상 보안조치사항을 준수할 필요가 있으며, * 전자금융업무를 포함하여 정보기술부문에 사용되는 하드웨어와 소프트웨어를 말하여 관련 장비를 포함한다(규정 제2조 제3호) ** 전산장비에 의해 입력·보관·출력되어 있는 자료를 말하며 그 자료가 입력·출력되어 있는 자기테이프, 디스크, 디스켓, CD 등 보조기억매체를 포함한다(규정 제2조 제2호)

전산센터 내 정보처리시스템과의 상시접속 차단, 자료전송 등을 위한 망간 접속시 CISO 등 관리책임자의 승인, 프로그램 통제 등 전산센터 내 전산자료 보호를 위한 통제조치가 필요한 것으로 보입니다. < 게시판, 메일, 메신저 관련 ☞ 유권해석/비조치의견서 >

｢전자금융감독규정(이하 ‘규정’)」 제2조 제2호에서 “‘정보처리시스템’이란 전자금융업무를 포함하여 정보기술부문에 사용되는 하드웨어(HW)와 소프트웨어(SW)를 말하며 관련 장비를 포함한다“라고 규정되어 있습니다.

현행 ｢전자금융거래법(이하 ‘법’)」에서는 전자금융거래의 안전성 확보를 위해 금융회사 및 전자금융업자로 하여금 전자금융업무 뿐만 아니라 일반 IT부문업무에 대해서도 일정한 기준을 준수하도록 규정*하고 있습니다. * 금융회사등은 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문, 전자금융업무 및 전자서명법에 의한 인증서의 사용 등 인증방법에 관하여 금융위원회가 정하는 기준을 준수하여야 한다(법 §21②)

따라 서, 귀사의 게시판, 메일, 메신저의 경우 일반 IT업무처리를 위한 정보처리시스템에 해당한다고 볼 수 있습니다.

게시판·메신저는 외부서비스 업체가 제공하는 무료SW로서 동 서비스 업체 내부에 위치한 시스템의 경우 동법상 규제대상이 아니므로 귀사에게 관련 규제 준수를 요구하는 것은 불합리한 측면*이 있습니다. * 시스템 운영·관리, 홈페이지 관리, 프로그램 개발·작업, 암호키 관리 등 카카오뱅크가 점검 또는 조치할 수 없는 규정은 배제

따라 서, 물리적으로 망분리된 인터넷용 단말기에서 위 서비스를 이용할 때 관련 정보처리시스템에 대하여 아래의 보완조치를 할 경우 전자금융감독규정 제13조, 제14조, 제15조, 제17조, 제25조, 제29조, 제31조, 제32조 위반에 따른 조치를 하지 않을 예정입니다.

다만, 귀사에서 상기 무료SW를 설치·이용하는 단말기(PC 등)에 대해서는 악성코드 감염 예방, 자료유출 방지, 통신기록관리 등 모니터링을 위한 보완조치*를 적용하고, 동 SW를 제공하는 외부서비스 업체의 보안관리 수준**도 함께 감안함으로써 보안상 우려를 해소할 수 있어야합니다. * (예시) 게시판·메신저 사용시 통신로그기록 확인, 단말기의 비정상적인 행위 모니터링, 파일첨부통제, 외부저장매체 통제, 네트워크 접근 통제 등 ** (예시) 국내외 정보보호 관련 인증(ISMS, ISO27001 등) 보유 여부 등

전자메일의 경우 수탁사와 유상계약을 통해 이용하는 SW로서 원칙적으로 수탁사에게 규제 준수를 요청하되, 요청이 어려운 경우 상기 게시판·메신저와 동일하게 처리가 가능합니다.