시스템 구축 시 Cloud Computing 적용 조건 완화 요청

회신

출처 · 원문 발췌

불수용

본문

요청 내용

□ (건의배경) 금융업 뿐 아니라 글로벌 선도기업들은 신속/유연하고, 비용 효율적인 IT 서비스 제공을 위해 Cloud Computing 도입에 적극적이나,

ㅇ 해외와 달리 국내 금융기관의 Cloud Computing 도입은 다소 저조한 상태

□ (문제점) Cloud 관련 정책 및 규제를 기준으로 검토할 경우, 상당수의 금융업무에 Cloud를 도입하기 어려운 것으로 판단

ㅇ 금융보안원의 "금융권 클라우드 서비스 이용 가이드"에 따라 적용대상 및 구성 제약을 검토할 경우, 금융업무 중 "비중요 서비스"만 Public Cloud를 적용할 수 있음.

- Public Cloud에 설치된 비중요 시스템이 금융사의 내부 시스템과 통신하는 경우, 전용회선 또는 전용회선과 동일한 보안수준을 갖춘 가상의 전용회선(VPN 등) 사용 지침에 따라 추가 비용이 발생하며

- 금융사 단독 IT 자원으로 Cloud를 구성하고 전용선을 구성할 경우 비용이 증가하게 되어, Cloud Computing의 도입효과를 기대하기 어려움

□ (건의사항) 금융보안원의 "금융권 클라우드 서비스 이용 가이드" 완화 및 개선 필요

ㅇ 처리 정보, 타 시스템과의 연계성, 시스템 중요도, 시스템 용도, 시스템 이용자 수에 따라 "비중요 정보처리 시스템"을 지정토록 규정

ㅇ 고유식별정보 또는 개인정보 처리가 많은 금융사 업무 특성 상 대부분의 업무나 시스템은 "중요 정보처리 시스템"으로 분류되어 Public Cloud 적용이 불가

- 고객채널시스템, 계정계시스템 뿐만 아니라 정보계시스템과 후선업무 지원을 위한 Back-office 시스템의 대부분은 "중요 정보처리 시스템"으로 분류

- 인사, 연수관리, 교육관리, 헬프데스크 등 일부에 Public Cloud 적용이 가능한 "비중요 정보처리 시스템"으로 분류(전체 업무의 10% 미만에 Public 적용 가능)

ㅇ Public Cloud 이용 시, 특정 금융사를 위한 Virtual Private Cloud 환경을 구성할 경우, "중요 정보처리 시스템"이라도 이용할 수 있도록 정책/규제 완화 필요

판단 이유

□ 금융위는 클라우드 컴퓨팅법*(‘15.9월, 과기정통부) 시행에 따라, 금융권 클라우드 활성화를 위해 전자금융감독규정을 개정(’16.10월)하여 물리적 망분리 등 클라우드 이용을 제한하는 규제를 개선한 바 있습니다.

* ‘클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률’ 제정

** 개인의 고유식별정보 또는 개인신용정보를 처리하지 않는 시스템(‘비중요 정보처리시스템’)은 민간(public) 클라우드 이용 가능

ㅇ 또한, 금융보안원은 금융회사가 클라우드 서비스 이용시 금융이용자 보호 및 금융시스템 안전성 유지를 위해 금융업권 및 전문가 등의 협의를 거쳐 ‘금융권 클라우드 서비스 이용 가이드’를 마련·배포(‘16.10월)하였습니다.

□ 다만, 귀사의 건의사항에 대해 아직까지 제도 개선에 따른 클라우드 도입 효과가 충분히 검증되지 않은 상황에서 민감한 개인정보까지 클라우드 이용을 확대하는 것은 어렵다고 판단됩니다. 최근에는 아마존 클라우드 서비스가 해킹* 당해 고객정보가 유출되는 등 정보보호에 대한 경각심이 높아지고 있습니다.

* 글로벌 통신기업 버라이즌에서 사용하는 아마존 클라우드 서비스가 해킹 당해 고객정보 600만건 유출(‘17.7월)

ㅇ 이러한 점을 감안하여, 1차 규제개선의 성과를 보아가면서 점진적으로 금융권의 클라우드 컴퓨팅 이용을 확대할 계획입니다.

관련 법령

12. IT·정보보안>IT 전산>IT개발

연결

매칭된 조문이 없습니다.

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색