NO-ACTION OPINION · 8449 비조치의견

비중요 정보처리시스템 운영 시 유연한 변경 통제 적용 요청

금융안전과 · 2018-10-17

회신

출처 · 원문 발췌

불수용

□ (건의배경) 당사는 설치형 블로그 저작도구인 워드프레스와 클라우드 서비스를 이용하여 외부 공개용 웹사이트*를 운영할 예정임

* 당사 웹/모바일 서비스의 디자인 기준과 적용 예시, 디자인 가이드 및 템플릿을 게시하는 웹사이트

ㅇ 하지만, 동 시스템은 회사 내부서비스 및 업무시스템과 연계가 없으며 각종 중요정보*가 없음에도 전자금융감독규정에 따른 엄격한 규제*를 받아야 함

* 고객정보, 민감정보, 신용정보, 금융거래, 금융상품정보, 공시정보, 대외비 정보 등

** 전자금융감독규정 제26조(직무의 분리), 제29조(프로그램 통제)

ㅇ 동 시스템은 비중요 정보처리시스템의 요건을 충족하며 내부서비스 및 업무시스템과 연계가 없어 고객피해 발생 가능성이 희박

ㅇ 비중요 정보처리시스템 관련 규정 제정의 취지에 맞도록 보다 효율적으로 클라우드 시스템을 이용할 수 있게 제도개선 필요

□ (건의사항) 금융상품·금융사 서비스에 대한 내용이 없어 고객 오해의 소지가 없고 전자금융거래 및 개인정보를 취급하지 않는 비중요 정보처리시스템 혹은 그에 준하는 시스템인 경우

ㅇ 금융회사 자체적으로 보안 및 관리 규정을 수립하여 시스템을 운영하고 책임질 수 있도록 하는 조항* 마련

* (1안) 전자금융감독규정 제14조의 2(비중요 정보처리시스템 지정) ⑥항 신설

⑥ 비중요 정보처리시스템으로 지정되고 전자금융거래 및 개인정보를 취급하지 않으며, 내부망과 연계가 없는 정보처리시스템인 경우 자체적으로

운영절차를 수립ㆍ운용하되 제26조, 제29조를 적용하지 아니한다.

(2안) 전자금융감독규정 제29조(프로그램 통제) 11호 신설

11. 전자금융거래 및 개인정보를 취급하지 않으며, 내부망과 연계가 없는 정보처리시스템인 경우에는 제1호 부터 제9호의 규정에 대해 예외로 하되,

이 경우 절차적 정당성에 대해 정기적으로 자체 검증을 실시할 것

※ (관련법령 또는 지도) 전자금융감독규정 제14조의 2(비중요 정보처리시스템 지정), 제26조(직무의 분리), 제29조(프로그램 통제)

비중요정보처리시스템이라 하더라도 공개용 웹서버는 외부 이용자에게 홈페이지 및 업무서비스를 제공하기 위해 운영되고, 내부서버와 달리 외부로부터 접근이 허용되므로 보안상 취약점을 이용한 해커의 공격에 취약하여 보호조치가 필요함.

이에 전자금융감독규정은 제17조에서 금융회사 또는 전자금융업자가 공개용 웹서버의 안전한 관리를 위한 대책(공개용 웹서버를 내부통신망과 분리하여 DMZ구간에 설치하고, 네트워크 및 접근제어 수단으로 보호할 것 등)을 수립?운용하도록 하고 있음.

즉, 보안사고 방지를 위하여 공개용 웹서버의 경우에만 전자금융감독규정의 예외를 두기는 어려움. 다만, 최근 비중요정보처리시스템 지정 개념을 삭제하고, 금융권 클라우드 이용범위를 확대하기 위한 전자금융감독규정 개정을 추진중에 있음(개정안 입법예고, ‘18.9.20)

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.