클라우드 이용대상 업무 확대

회신

출처 · 원문 발췌

일부수용

본문

요청 내용

□ (건의배경) 금융회사가 클라우드 컴퓨팅 사용시 '고유식별정보' 또는 '개인신용정보' 처리(송신, 수신 또는 전달 포함)시 지정 불가하도록 되어 있음

ㅇ 이를 확대 해석하여 암호화된 경우에도 웹서버 또는 채널시스템을 클라우드 컴퓨팅에 적용하지 못하도록 가이드하고 있음

※ 관련법령 또는 지도

-「금융권 클라우드 서비스 이용가이드」2016. 10(금융보안원)

□ (건의내용) 웹서버와 채널 시스템에 대한 비중요 정보처리시스템 지정 완화 검토 요청

ㅇ 위 시스템은 확장성과 안정성 확보가 필요한 업무 시스템으로 클라우드 활용시 가장 효과가 높을 것으로 예상되는 업무임

ㅇ 이미 개인 정보를 종단간 암호화하여 처리하고 있어 개인정보 유출에 대한 위험도는 낮은 편임. 처리데이터가 암호화되어 있는 경우에는 예외적인 허용이 필요함

판단 이유

ㅁ 전자금융감독규정 제14조의2 제1항에 따라 금융회사는 정보자산의 중요도가 현저히 낮은 시스템을 ‘비중요 정보처리시스템’으로 지정할 수 있고 해당 시스템에 대해 클라우드 서비스를 활용할 수 있습니다. 다만, 개인의 고유식별정보 또는 '신용정보의 이용 및 보호에 관한 법률'상 개인신용정보를 처리하는 시스템은 ’비중요 정보처리시스템‘으로 지정할 수 없습니다.

ㅇ 귀사에서 건의한 ‘암호화된 개인정보’가 ‘개인정보’ 인지 아닌지 여부에 따라 ‘비중요 정보처리시스템’ 지정 가능 여부를 결정할 수 있습니다. 상기 여부에 대하여 개인정보보호법 소관부처(행정자치부) 의견을 포함하오니 업무에 참고하시기 바랍니다.

< 참고 : 암호화된 개인정보가 개인정보인지 여부에 대한 행정자치부 의견 >

가. '개인정보 보호법' 제2조제1호는 “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.’고 규정하고 있습니다.

나. 따라서 개인정보를 암호화한 경우, 해당 정보가 개인정보인지 여부는 해당 암호화 조치가 복호화 될 가능성, 다른 정보와 쉽게 결합하여 개인을 알아볼 가능성 등을 구체적·종합적으로 판단하여야 할 것으로 보입니다.

관련 법령

12. IT·정보보안>정보보안>암호화

연결

관련 근거

더 찾아보기

기관 원문

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.

다음 탐색