시스템 구축 시 Cloud Computing 적용 조건 완화 요청

(건의배경) 금융업 뿐 아니라 글로벌 선도기업들은 신속/유연하고, 비용 효율적인 IT 서비스 제공을 위해 Cloud Computing 도입에 적극적이나,

해외와 달리 국내 금융기관의 Cloud Computing 도입은 다소 저조한 상태

(문제점) Cloud 관련 정책 및 규제를 기준으로 검토할 경우, 상당수의 금융업무에 Cloud를 도입하기 어려운 것으로 판단

금융보안원의 "금융권 클라우드 서비스 이용 가이드"에 따라 적용대상 및 구성 제약을 검토할 경우, 금융업무 중 "비중요 서비스"만 Public Cloud를 적용할 수 있음. - Public Cloud에 설치된 비중요 시스템이 금융사의 내부 시스템과 통신하는 경우, 전용회선 또는 전용회선과 동일한 보안수준을 갖춘 가상의 전용회선(VPN 등) 사용 지침에 따라 추가 비용이 발생하며 - 금융사 단독 IT 자원으로 Cloud를 구성하고 전용선을 구성할 경우 비용이 증가하게 되어, Cloud Computing의 도입효과를 기대하기 어려움

(건의사항) 금융보안원의 "금융권 클라우드 서비스 이용 가이드" 완화 및 개선 필요

처리 정보, 타 시스템과의 연계성, 시스템 중요도, 시스템 용도, 시스템 이용자 수에 따라 "비중요 정보처리 시스템"을 지정토록 규정

고유식별정보 또는 개인정보 처리가 많은 금융사 업무 특성 상 대부분의 업무나 시스템은 "중요 정보처리 시스템"으로 분류되어 Public Cloud 적용이 불가 - 고객채널시스템, 계정계시스템 뿐만 아니라 정보계시스템과 후선업무 지원을 위한 Back-office 시스템의 대부분은 "중요 정보처리 시스템"으로 분류 - 인사, 연수관리, 교육관리, 헬프데스크 등 일부에 Public Cloud 적용이 가능한 "비중요 정보처리 시스템"으로 분류(전체 업무의 10% 미만에 Public 적용 가능)

Public Cloud 이용 시, 특정 금융사를 위한 Virtual Private Cloud 환경을 구성할 경우, "중요 정보처리 시스템"이라도 이용할 수 있도록 정책/규제 완화 필요

금융위는 클라우드 컴퓨팅법*(‘15.9월, 과기정통부) 시행에 따라, 금융권 클라우드 활성화를 위해 전자금융감독규정을 개정(’16.10월)하여 물리적 망분리 등 클라우드 이용을 제한하는 규제를 개선한 바 있습니다. * ‘클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률’ 제정 ** 개인의 고유식별정보 또는 개인신용정보를 처리하지 않는 시스템(‘비중요 정보처리시스템’)은 민간(public) 클라우드 이용 가능

또한, 금융보안원은 금융회사가 클라우드 서비스 이용시 금융이용자 보호 및 금융시스템 안전성 유지를 위해 금융업권 및 전문가 등의 협의를 거쳐 ‘금융권 클라우드 서비스 이용 가이드’를 마련·배포(‘16.10월)하였습니다.

다만, 귀사의 건의사항에 대해 아직까지 제도 개선에 따른 클라우드 도입 효과가 충분히 검증되지 않은 상황에서 민감한 개인정보까지 클라우드 이용을 확대하는 것은 어렵다고 판단됩니다. 최근에는 아마존 클라우드 서비스가 해킹* 당해 고객정보가 유출되는 등 정보보호에 대한 경각심이 높아지고 있습니다. * 글로벌 통신기업 버라이즌에서 사용하는 아마존 클라우드 서비스가 해킹 당해 고객정보 600만건 유출(‘17.7월)

이러한 점을 감안하여, 1차 규제개선의 성과를 보아가면서 점진적으로 금융권의 클라우드 컴퓨팅 이용을 확대할 계획입니다.