망분리 예외적용 승인을 위한 프로세스 제공 요청

(건의배경) 국내외 규정 변경이나 업무상 필요에 따라 업데이트가 수시로 필요한 솔루션*의 경우 대부분 인터넷 연결을 통한 웹베이스를 기반으로 하고 있으나 * 공시문서산출시스템, IHS Markit 담보솔루션시스템 등

전자금융감독규정* 및 망분리 예외적용 가이드 등에서는 금융회사의 내부 업무망에서 외부 인터넷이 연결되는 것을 최소화하도록 권장 * 전자금융감독규정 §15 - 따라서, 사용빈도가 매우 높은 솔루션을 활용하고자 하더라도 내부 업무망에 이를 적용하지 못할 수 있음

현재 망분리 예외적용 가이드라인은 매우 포괄적인 해석이 가능하므로 외부 솔루션을 보수적으로 검토하여 도입하지 않는다면 쉽게 위반될 수 있음 - 따라서 증권사 망분리 담당자는 업무의 필요성과 서비스의 우수성 보다는 인지도가 높고 보편적인 시스템을 예외적용 대상으로 인정할 수밖에 없음

증권사가 자체적으로 산출하거나 구축하지 못하는 데이터 및 시스템에 대해서는 감독당국과 사전에 협의하여 망분리 예외적용 대상에 포함할 수 있도록 - ‘망분리 예외적용 승인을 위한 프로세스’를 별도로 제공할 필요

(건의사항) 증권사 내부통제 담당자와 감독당국 담당자가 망분리 예외적용의 필요성을 검증하고 승인하는 ‘망분리 예외적용 승인을 위한 프로세스’를 마련하여 주실 것을 건의드림 ※ (관련 법규 및 지도) 전자금융감독규정 §15 등

전자금융감독규정 망분리 예외조항(§15①5) 및 동규정 시행세칙(§2의2)에 따르면 물리적 망분리 예외는 일정한 경우에 한정하여 금융회사 자체 위험성 평가를 실시한 후 정보보호위원회가 승인한 경우에 인정됨

자체적으로 산출하거나 구축하지 못하는 데이터 및 시스템은 비중요 정보처리시스템 지정(망분리 예외가능)을 통한 클라우드 서비스 이용을 통해 내부업무에 활용할 수 있음

금융회사는 자체 위험성 평가를 거친 후 정보보호위원회 승인을 받아 망분리 예외를 적용할 수 있는 프로세스(절차)가 있으므로 감독당국과 금융회사 간 ‘망분리 예외적용 승인을 위한 프로세스’ 마련은 별도로 필요 없다고 판단됨