해외 클라우드 기반 솔루션 도입절차 간소화 요청

(건의배경) IT업계에서는 큰 규제없이 이용하는 해외 클라우드 기반 디자인 협업 솔루션(웹형태 서비스) 도입을 이용하고자 하나

금융권의 경우 금융보안원의 정보심의회 의결을 거쳐야 하고 금융보안원의「금융분야 클라우드컴퓨팅서비스 이용 가이드」內 중요도 평가 실시를 위한 기준*이 모호하여 도입이 지연되고 있음 * 비중요업무에 대해 구체적으로 명시되어 있지 않음

(건의내용) 해외 클라우드 서비스 도입과 관련하여 다음과 같이 건의함

금융 클라우드 이용 규정은 금융회사가 정보 자산의 중요도에 따라 안전성을 자율평가하는 절차를 거치도록 하고 있음

이는 내부통제 절차로 금융보안원의 심의를 거치도록 하고 있지는 않으며, 중요도 평가는 금융회사 등이 리스크 관리를 위해 자체적 기준에 따라 실시토록 한 절차임 - 또한, 클라우드 이용 가이드에서는 중요도 평가와 관련한 설명을 통해 중요 업무로 취급되어야 하는 사례를 나열하고 있음(비중요업무는 동 사례에 해당하지 않는 경우라 할 수 있으며, 그 판단은 금융회사 등이 자율적으로 결정하는 사안임)

해외 주요국도 안전성 확보를 위해 금융회사가 정보자산의 중요도를 분석하고, 클라우드 리스크를 관리하기 위한 내부통제 절차를 거칠 것을 지침, 가이드의 형태로 제시중

특히, 최근 금융회사 등의 클라우드 이용 확대로 집중리스크, 제3자 의존 심화 등 관련 리스크가 확대되고 있으며, 크고 작은 클라우드 정보유출, 장애 사고도 지속되는 상황 ⇒ 이에 클라우드 이용시 금융회사 등의 내부통제 절차는 유지가 필요. 다만, 향후 클라우드 협의회 운영을 통해 가이드를 정비·개선할 부분이 있는지 살펴보겠음