금융권 클라우드 서비스 적용을 위한 제도개선

(건의배경) 당사는 SMS, e-mail, Fax 등 UMS* 서비스를 클라우드 형태로 서비스하기 위해 준비 중 * Unified Messaging System : 기존 SMS, e-mail, Fax 등을 단일망으로 통합해 단일 메일함에서 통합 관리할 수 있도록 하는 통합메시징시스템

전자금융감독규정 제14조의2에 따라 비중요 정보처리시스템으로 지정된 시스템의 경우에는 클라우드 서비스가 가능*하나, * 전자금융감독규정 제14조의2 제5항에 따라 물리적 망분리 등 예외

당사가 비중요 정보처리시스템으로 운영하기 위해서는 금융감독원이 요구하는 수준에 맞는 관리방안을 마련해야함

당사와 제휴하는 클라우드 서비스 업체가 ISO27001와 같은 권위 있는 국제표준 정보보호인증을 받았음에도 불구하고 추가적인 관리방안을 요구받는 것은 불필요

(건의사항) 국제적으로 인정되는 정보보호인증을 받은 경우에는 전자금융감독규정 제14조의2 제3항, 제4항에 따른 금융감독원 보고 등의 절차를 생략할 수 있도록 동 규정 개정검토 요청 ※ (관련법령 또는 지도) 전자금융감독규정 제14조의2(비중요 정보처리시스템 지정)

금융회사는 클라우드컴퓨팅 이용 등을 위한 비중요 정보처리시스템 지정 시 전자금융감독규정시행세칙 별지제6호 서식에 따라 금융감독원에 지정 결과를 보고하여야 하나, 금융감독원은 비중요 정보처리시스템 관리 방안에 대해 규정상 특정한 수준의 요구를 하지 않습니다.

따라서 원칙상 금융회사가 적절한 관리방안을 자율적으로 정하여 그 결과를 금융감독원에 보고할 수 있으므로, 특정 정보보호인증을 받은 경우 관리 방안 자체를 보고하지 않는 것은 비중요 정보처리시스템 지정 현황을 관리, 감독하기 위한 제도의 취지에는 부합하지 않는 것으로 보입니다.