정보처리시스템 개발업무에 사용되는 업무장소 분리 관련

회신

출처 · 원문 발췌

□ 「전자금융감독규정」제60조 제1항제1호에서 외부주문등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비를 내부 업무용과 분리하여 설치?운영하도록 하는 것은 운영시스템에 대한 비인가 접근 및 변경 위험 방지, 중요자료 접근통제, 해킹 등 침해사고 예방, 정보유출 방지 등 외주업체에 의한 보안사고 예방을 위한 기본적인 물리적 보안조치입니다.

ㅇ 운영시스템에 접속하는 PC와 시스템 개발 수행사의 네트워크를 연결하게 되면 불법적인 외부접근 통로로 사용될 가능성이 있고 중대한 보안위협이 되는 바, 국제표준(ISO27001) 및 정보보호관리체계(「정보통신망법 이용촉진 및 정보보호 등에 관한 법률」) 인증의 통제항목에서도 개발, 테스트, 운영 설비를 분리하도록 하고 있습니다.

□ 질의하신 내용과 관련하여 이상과 같은 사유로 개발업무 점검 등의 편의성을 위해 ‘운영시스템에 접속하는 PC를 이용하여 개발용 정보처리시스템에 접속하도록 허용’하는 것은 불가함을 알려드립니다.

ㅇ 만약, 시스템 운영 인력을 활용하여 시스템 운영 장소에서 개발시스템 점검 및 일부 개발업무를 수행하고자 할 경우, 금융회사 정보보호최고책임자의 승인을 받아 별도의 공간에 업무망과 분리된 전용단말기를 설치하고 해당 단말기는 본체·USB포트·통신포트 봉인, 무선통신·인터넷 차단, CD·외장메모리 등 저장매체 사용장치 탈거, DRM 적용, 문서편집기 삭제, 업무담당외 사용금지, 접속기록 유지, 단말기 반출시 저장장치 파쇄 등 철저한 단말기 보안관리를 실시하여야 할 것입니다.

본문

요청 내용

□ 당사의 계열사로 하여금 시스템 개발 업무를 서로 분리된 장소 및 설비 하에 수행 중인데, 기존 시스템 운영 직원이 차세대 시스템 점검 및 일부 개발 목적으로 운영 장소에서 운영시스템에 접속하는 PC를 이용하여 개발용 정보처리시스템에 접속하도록 허용해도 되는지 여부

* (사실관계) A사는 당사의 차세대 시스템 개발을 위하여 별도의 개발실에서 외주인력과 함께 개발을 수행 중(개발장소 및 시스템 물리적 분리). 이와 별도로 당사는 개발 시스템의 철저한 점검, 시스템 오픈 후의 운영 안정성을 확보하기 위하여 시스템 운영 인력에게 운영 업무와 병행하여 동일 장소에서 신규로 개발되고 있는 차세대 시스템에 개발환경으로 접근, 테스트·점검 및 개발업무를 수행하도록 하고자 함

판단 이유

□ 「전자금융감독규정」 제60조 제1항제1호에서 ‘외부주문등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비는 내부 업무용과 분리하여 설치·운영’하도록 하는 것은 운영시스템에 대한 비인가 접근 및 변경 위험 방지 등 외주업체에 의한 보안사고 예방을 위한 기초적인 물리적 보안조치입니다.

□ 시스템 개발사가 금융회사의 계열사라 하더라도 엄밀하게는 외주용역업체이고, 시스템 개발 단계에서는 다양한 개발환경으로 인해 각종 보안취약점들이 존재할 수 있습니다. 이에 따라 금융회사의 핵심 전산시설 운영과 전산개발은 분리하여 처리되어야 하며 핵심시설에 직접 접속하는 시스템 운영업무와 개발업무를 동일한 단말기에서 수행할 수는 없습니다.

연결

관련 근거

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색