NO-ACTION OPINION · 8001 비조치의견

해외 클라우드 기반 솔루션 도입절차 간소화 요청

금융안전과 · 2019-12-03

회신

출처 · 원문 발췌

불수용

□ (건의배경) IT업계에서는 큰 규제없이 이용하는 해외 클라우드 기반 디자인 협업 솔루션(웹형태 서비스) 도입을 이용하고자 하나

ㅇ 금융권의 경우 금융보안원의 정보심의회 의결을 거쳐야 하고 금융보안원의「금융분야 클라우드컴퓨팅서비스 이용 가이드」內 중요도 평가 실시를 위한 기준*이 모호하여 도입이 지연되고 있음

* 비중요업무에 대해 구체적으로 명시되어 있지 않음

□ (건의내용) 해외 클라우드 서비스 도입과 관련하여 다음과 같이 건의함

1. 클라우드서비스 도입(이용)시 사전준비 절차* 간소화 요청

* 업무 선정 및 평가 → 계획수립 → 계약준비 절차로 이루어짐

가. 업무 선정 및 평가 : 이용 대상 정보처리업무 선정 및 중요도 평가

나. 계획수립 : 업무연속성 계획 및 안전성 확보조치 방안 수립, 업무 위·수탁 기준 보완

다. 계약 준비 : 클라우드서비스 제공자의 건전성·안전성 등 평가, 정보보호위원회 심의 의결

2. 「금융분야 클라우드컴퓨팅서 비스 이용 가이드」정보처리업무 중요도 평가 항목에서 비(非)중요업무 구체화 요청

예시) 금융분야 클라우드컴퓨팅서비스 이용 가이드 제4장의2에 비중요업무 정의 추가

- 다. 시스템과 물리적 연결이 없고 부수업무(디자인 관련 업무 등)를 위한 솔루션 도입은 중요업무로 취급하지 않음

※ (관련법령 및 지도) 전자금융감독규정 제14조의2,

금융분야 클라우드컴퓨팅서비스 이용 가이드

□ 금융 클라우드 이용 규정은 금융회사가 정보 자산의 중요도에 따라 안전성을 자율평가하는 절차를 거치도록 하고 있음

ㅇ 이는 내부통제 절차로 금융보안원의 심의를 거치도록 하고 있지는 않으며, 중요도 평가는 금융회사 등이 리스크 관리를 위해 자체적 기준에 따라 실시토록 한 절차임

- 또한, 클라우드 이용 가이드에서는 중요도 평가와 관련한 설명을 통해 중요 업무로 취급되어야 하는 사례를 나열하고 있음(비중요업무는 동 사례에 해당하지 않는 경우라 할 수 있으며, 그 판단은 금융회사 등이 자율적으로 결정하는 사안임)

ㅇ 해외 주요국도 안전성 확보를 위해 금융회사가 정보자산의 중요도를 분석하고, 클라우드 리스크를 관리하기 위한 내부통제 절차를 거칠 것을 지침, 가이드의 형태로 제시중

ㅇ 특히, 최근 금융회사 등의 클라우드 이용 확대로 집중리스크, 제3자 의존 심화 등 관련 리스크가 확대되고 있으며, 크고 작은 클라우드 정보유출, 장애 사고도 지속되는 상황

⇒ 이에 클라우드 이용시 금융회사 등의 내부통제 절차는 유지가 필요. 다만, 향후 클라우드 협의회 운영을 통해 가이드를 정비·개선할 부분이 있는지 살펴보겠음

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.