SM인력이 IT개발업무를 수행할 경우 전자금융감독규정 제60조 제1항 제1호에 따라 업무장소 및 전산설비를 분리하여야 하므로, 귀사가 제시한 통제 하에서 운영DB에의 접근은 허용되지 않습니다.
ㅇ
이는 위 SM인력이 동일한 금융지주회사의 자회사 소속일 경우도 동일하게 적용됩니다.
본문
요청 내용
□
금융회사는 외부주문 등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비를 내부 업무용과 분리하여 설치·운영하여야 하는데(전자금융감독규정 제60조 제1항 제1호),
ㅇ
유지·보수 업무를 담당하는 SM(System Maintenance) 외주인력*이 일부 개발업무를 병행할 경우 적절한 통제**하에 운영DB에 접근하는 것이 가능한지 여부 * 정보처리시스템의 운영 및 유지?보수를 위하여 상주하는 IT 외주인력 ** DB보안툴을 통해 DB에 접속, 업무별 최소 필요한 권한 부여, DML(Data Manipulation Language) 수행 차단, 수행로그 기록, 고객정보 Masking 처리 등
ㅇ
또한, 해당 외주인력이 동일한 금융지주회사의 자회사 소속일 경우 결론이 달라지는지 여부
판단 이유
□
직무상 SM 외주인력에 해당하더라도 일부 개발업무를 병행할 경우 해당 인력은 개발업무를 수행하는 것으로 보아야 할 것입니다.
□
금융회사는 외부주문 등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소 및 전산설비를 내부 업무용과 분리하여 설치?운영하여야 하며,(전자금융감독규정 제60조 제1항 제1호),
ㅇ
이에 대해 금융위는 “외주 개발직원이 내부 업무용시스템에 접속하지 못하도록 망을 분리하고 별도의 개발환경을 마련하여 내부 업무용시스템에 대한 비인가자의 접근을 원천적으로 차단하는 경우 ‘개발업무에 사용되는 전산설비를 내부업무용과 분리’한 것으로 볼 수 있다.”고 해석한 바 있습니다(’15.7.1).
□
일부 개발업무를 수행하는 SM인력에 대해 위 법령해석에 부합할 정도의 통제가 있지 않다면 관련 규정을 준수하였다고 볼 수 없습니다.
ㅇ
한편, 개발업무를 담당한 외주인력이 동일한 금융지주회사 내의 계열사 소속이라 하더라도 외부주문에 해당하는 사실은 달라지지 않으므로 외부주문에 관한 규정을 준수하여야 할 것입니다.
□
다만, 금융위는 “시스템 운영 인력을 활용하여 시스템 운영 장소에서 개발시스템 점검 및 일부 개발업무를 수행하고자 할 경우, 금융회사 정보보호최고책임자의 승인을 받아 별도의 공간에 업무망과 분리된 전용단말기를 설치하고 해당 단말기는 본체,USB포트,통신포트 봉인, 무선통신,인터넷 차단, CD,외장메모리 등 저장매체 사용장치 탈거, DRM 적용, 문서편집기 삭제, 업무담당외 사용금지, 접속기록 유지, 단말기 반출시 저장장치 파쇄 등 철저한 보안관리를 실시”하면 가능한 것으로 해석한 바 있으므로(’15.10.28.),
ㅇ
이러한 요건을 충족하여 SM인력이 개발업무를 수행할 경우에는 동 규정에 위반되지 않을 것입니다.
연결
문서 기준 관련 조문·시행본
원문에서 법령 인용은 확인됐지만 해당 조문 본문과 문서 기준 시행본의 자동 대조가 끝나지 않은 항목입니다. 확정 연결로 해석하지 마세요.