제37조의6제1항의 침해사고대응기관이 수행한 평가 결과를 활용할 수 있다.<개정 2018. 12. 21, 2022. 11. 23., 2025. 2. 5.>
④금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 사유가 발생한 날로부터 3개월 이내에 금융감독원장에게 보고하여야 하고, 관련 서류를 최신상태로 유지하여야 한다.<신설 2018. 12. 21., 개정 2022. 11. 23., 2025. 2. 5.>
1.클라우드컴퓨팅서비스 이용계약을 신규로 체결하거나, 기존 클라우드컴퓨팅서비스 이용계약을 통해 신규 업무를 처리하는 경우<신설 2022. 11. 23., 개정 2025. 2. 5.>
2.클라우드컴퓨팅서비스 제공자의 합병, 분할, 계약상 지위의 양도, 재위탁 등 중대한 변경사항이 발생한 경우<개정 2022. 11. 23.>
3.클라우드컴퓨팅서비스 제공자가 서비스품질의 유지, 안전성 확보 등과 관련한 중요 계약사항을 이행하지 아니한 경우<개정 2022. 11. 23.>
4.제1항제2호 또는 제3호에 관한 중대한 변경사항이 발생한 경우<개정 2022. 11. 23.>
⑤제4항의 보고에 관한 양식, 첨부서류 등에 관해서는 금융감독원장이 정하는 바에 따른다.<신설 2018. 12. 21., 개정 2022. 11. 23., 2025. 2. 5.>
⑥금융감독원장은 제4항에 따라 제출한 보고 서류가 누락되거나, 중요도 평가 또는 업무연속성계획ㆍ안전성 확보조치 등이 충분하지 않다고 판단하는 경우에는 금융회사 또는 전자금융업자에 대하여 개선ㆍ보완을 요구할 수 있다.<종전의 제7항에서 이동, 2025. 2. 5.><개정 2018. 12. 21., 2022. 11. 23.>
⑦제1항의 절차를 거친 클라우드컴퓨팅서비스 제공자의 정보처리시스템이 위치한 전산실에 대해서는
제37조 삭제<2025. 2. 5.>
제37조의2(전자금융기반시설의 취약점 분석ㆍ평가 주기, 내용 등) ① 전자금융기반시설의 취약점 분석ㆍ평가는 총자산이 2조원 이상이고, 상시 종업원 수(「소득세법」에 따른 원천징수의무자가 근로소득세를 원천징수한 자를 기준으로 한다. 이하 같다) 300명 이상인 금융회사 또는 전자금융업자이거나 「수산업협동조합법」, 「산림조합법」, 「신용협동조합법」, 「상호저축은행법」 및 「새마을금고법」에 따른 중앙회의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하여야 한다.
②금융회사 및 전자금융업자는 취약점 분석ㆍ평가를 위하여 정보보호최고책임자(정보보호최고책임자가 없는 경우 최고경영자가 지정한다)를 포함하여 5인 이상으로 자체전담반을 구성하여야 하며, 구성원 중 100분의 30 이상은 「정보보호산업의 진흥에 관한 법률 시행규칙」
제37조의3제1항에 따른 평가전문기관에 위탁하는 경우에는 자체전담반을 구성하지 아니할 수 있다.<개정 2016. 6. 30.>
③제1항에 따른 금융회사 및 전자금융업자 이외의 자의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하되 자체전담반을 구성하지 아니할 수 있다. 이 경우 취약점 분석ㆍ평가의 내용은 금융감독원장이 정한다.
④금융회사 및 전자금융업자는 해당 주기 내에 평가 대상 시설과 평가기간을 나누어 평가할 수 있다.
⑤금융회사 또는 전자금융업자는 취약점 분석ㆍ평가에 따라 이행계획을 수립ㆍ시행하여야 하며 다음 각 호의 사항을 준수하여야 한다.
1.취약점 분석ㆍ평가 결과에 따른 취약점의 제거 또는 이에 상응하는 조치의 시행
2.취약점의 제거 또는 이에 상응하는 조치가 불가한 경우에는 최고경영자 승인을 득할 것
3.이행계획의 시행 결과는 최고경영자에게 보고할 것
⑥금융회사 또는 전자금융업자는 제1항 또는 제3항에 따른 의무의 이행을 위하여 전자금융보조업자에게 협조를 요청할 수 있다.<신설 2018. 12. 21.>
제37조의3(전자금융기반시설의 취약점 분석ㆍ평가 전문기관의 지정 등) ① 전자금융기반시설의 취약점 분석ㆍ평가를 위한 평가전문기관은 다음 각 호의 자로 한다.
1.「정보통신기반 보호법」
제37조의4(침해사고 통지의 방법) 금융회사 및 전자금융업자는 법
제37조의5(정보기술부문 및 전자금융 사고보고) ① 금융회사 및 전자금융업자는 정보기술부문 및 전자금융과 관련된 사고에 관하여 다음 각 호를 준수하여야 한다.
1.사고의 유형 분류, 처리단계, 조치방법, 영향도 및 심각도 평가 방법 등이 포함된 절차를 마련ㆍ운영.
2.금융감독원장이 정하는 사고가 발생한 경우에는 지체없이 금융감독원장에게 보고
②금융회사 및 전자금융업자는 제1항제2호에 따른 사고보고를 고의로 지연하거나 숨긴 자에 대하여 소정절차에 따라 징계 등 필요한 조치를 취하여야 한다.
③금융감독원장은 제1항제2호에 따라 보고 받은 내용을 지체 없이 금융위원장에게 보고하여야 한다.
④제1항제2호의 사고보고와 관련하여 사고보고 대상, 절차 및 방법 등 세부사항은 금융감독원장이 정하는 바에 따른다.
[본조 신설 2025. 2. .5.]
제37조의6(침해사고대응기관 지정 및 업무범위 등) ① 침해사고에 대응하기 위한 침해사고대응기관은 다음 각 호의 자로 한다.
1.금융보안원
2.삭제
3.금융위원장이 지정한 자
②침해사고대응기관은 다음 각 호의 업무를 수행한다.
1.침해사고에 관한 정보의 수집ㆍ전파를 위한 정보공유체계의 구축
2.침해사고의 예보ㆍ경보 발령내용의 전파
3.침해사고의 원인분석과 신속한 대응 및 피해 확산방지를 위해 필요한 조치
4.금융회사 및 전자금융업자와 관련된 해킹 등 전자적 침해행위 정보를 탐지ㆍ분석하여 즉시 대응 조치를 하기 위한 기구(이하 "금융권 통합 보안관제센터"라 한다)의 운영
5.금융회사 및 전자금융업자의 침해사고 예방, 대응을 위한 자율기준의 마련 및 운영
③금융위원장은
제37조의4 및
제37조의5제3항에 따라 보고받은 내용으로서 전자적 침해행위가 원인이거나 원인으로 의심되는 경우 사고 조사 및 피해확산 방지를 위해 침해사고대응기관을 포함하여 침해사고조사단을 구성ㆍ운영할 수 있다.
④금융위원장은 제2항에 따른 침해사고 긴급대응을 위한 침해사고대응기관의 업무 수행 또는 제3항에 따른 침해사고 원인분석 및 긴급조치를 위하여 금융회사 및 전자금융업자, 전자금융보조업자에 협조를 요청할 수 있다.
⑤금융회사 및 전자금융업자는 침해사고에 대한 대응능력 확보를 위하여 연 1회 이상 침해사고 대응 및 복구훈련 계획을 수립ㆍ시행하여야 하며 그 계획 및 결과를 침해사고대응기관의 장에게 제출하여야 한다. 다만 다음 각 호의 어느 하나에 해당하는 금융회사는 그러하지 아니한다.
1.법
제37조의6제1항 각 호의 어느 하나에 해당하는 기관에 지원을 요청할 수 있다.
[본항신설 2015. 2. 3.]
[시행일 : 2015. 4. 16.]