금융분야 클라우드컴퓨팅서비스 이용 가이드 제1조 (금융보안원-금융분야 클라우드컴퓨팅서비스 이용 가이드-FN)

공식 조문

자율규제소관 · 금융보안원

원문에서 바로 확인

공식 조문 첫 내용

제 장 가이드 개요························1 제 장 계약 준비·························47

임의로 해석하지 않고 공식 원문의 첫 단위를 그대로 표시합니다.

1. 공식 조문 원문

ONTENTS

1 5

제 장 가이드 개요························1 제 장 계약 준비·························47

1.목적····················································2 1. 클라우드서비스 제공자 평가·············48

2.구성····················································3 2. 정보보호위원회 심의･의결················51

3.활용····················································3

4.용어····················································4

2 6

제 장 클라우드서비스 이용 절차··7 제 장 계약 체결·························53

1.사전 준비 (제3~5장)··························9 1. 서비스 위탁 관련 명시사항··············56

2.계약 체결 (제6장)····························11 2. 보안 관련 명시사항··························67

3.보고 및 이용 (제7장)·······················11 3. 출구 전략 이행을 위한 명시사항·····70

4.이용 종료 (제8장)····························12 4. 책임관계 명확화·······························72

3 7

제 장 업무 선정 및 평가···········13 제 장 보고 및 이용····················75

1.이용대상 선정···································14 1. 서류 구비 및 사전 보고···················76

2.중요도 평가 실시·····························15 2. 서류 최신성 유지 및 수시 보고·······78

3.리스크 관리······································81

4 8

제 장 계획 수립·························19 제 장 이용 종료·························83

1.업무 연속성 계획 수립·····················21

2.출구 전략 수립 (업무 연속성 계획에 포함)···26

3.안전성 확보조치 방안 수립··············30

4.업무 위수탁 운영기준 마련··············44

금융분야

클라우드컴퓨팅서비스

이용 가이드

첨 부··············································85

1.클라우드서비스 이용 관련 감독규정

주요 개정 내용·································86

2.해외 금융권 클라우드서비스 규제 사례·······88

3.전자금융감독규정 시행세칙의 망분리

대체 정보보호통제 수칙·····················89

4.클라우드서비스 이용 가이드 관련 FAQ·······90

부 록 금융분야 클라우드컴퓨팅서비스

제공기준·······························93

1.평가 대상·········································94

2.평가 절차 및 방법···························95

3.평가항목 기준································100

별 첨 금융분야 클라우드컴퓨팅서비스

이용 관련 참고자료···········115

1.전자금융감독규정 개정.시행 보도자료

(금융위원회, ’19.12.7.)·················117

2.관련 규정·······································129

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

가이드 개요

1.목적

2.구성

3.활용

4.용어

FINANCIAL SECURITY INSTITUTE

제 장 가이드 개요

1 목적

이 가이드는 금융회사 또는 전자금융업자(이하 ‘금융회사’)가 ｢전자금융감독

규정｣(이하 ‘감독규정’) 제14조의2에 따라 클라우드컴퓨팅서비스(이하 ‘클라

우드서비스’)를 이용하고자 할 경우 요구되는 세부절차를 안내하고 금융시스템

안전성 및 금융소비자 보호를 위해 필요한 보안사항을 권고하는 것을 목적으로

한다.

<금융분야 클라우드서비스 이용 관련 기본 방향>

금융회사의 클라우드서비스 이용은 ｢금융회사의 정보처리 업무 위탁에 관한 규정｣ 제2조 제5항 및

제6항에 따라 정보처리 위탁에 해당하며,

｢자본시장법｣ 제42조 및 ｢금융기관의 업무위탁 등에 관한 규정｣ 제3조에 따른 업무위탁에 해당됨

※ 클라우드서비스 이용은 정보를 제공하는 것이 아닌, 위탁 처리 하는 것임

전자금융업무와 관련된 정보처리시스템을 위탁할 경우 클라우드서비스 제공자는 감독규정 제3조제3호

또는 제4호에 따라 전자금융보조업자에 해당

클라우드서비스를 이용한다고 해서 금융회사의 책임이 면제되는 것이 아니며, 고객 손해 발생 시 금융

회사가 1차적 손해배상 책임의 주체이고, 클라우드 제공자는 수탁자로서 연대배상책임을 부담

2 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

2 구성

이 가이드는 본문(제2장~제8장)과 부록으로 구성되어 있다.

본문에서는 금융회사가 클라우드서비스 이용 시 준수해야 할 절차, 기타

보안대책 등을 단계적으로 설명하고 있으며, 부록에서는 금융회사가 감독규정

제14조의2제1항제2호에 따라 클라우드서비스 제공자의 건전성 및 안전성을

평가하기 위해 필요한 세부기준을 제시한다.

3 활용

①이 가이드는 감독규정(’19.1.1. 시행) 제14조의2(클라우드서비스 이용절차

등)의 준수를 위해 활용할 수 있다.

※ 이 가이드는 상용 클라우드서비스 이용에 대한 것으로, 금융회사 또는 지주사 내에서 감독

규정 제11조제11호 및 제12호, 제15조제1항제5호를 준수하면서 非상용 프라이빗 클라

우드서비스 등을 활용하는 경우는 이 가이드의 적용 대상이 아님

②이 가이드는 금융회사가 클라우드서비스를 이용함에 있어 적절한 보안

대책*을 수립･운영하기 위해 활용할 수 있다.

* 단, 개별 금융회사 또는 업무 특성에 따라 보안대책의 적용 여부는 금융회사가 최종적으로

판단하여야 함

③이 가이드에 포함되지 않거나 중복되는 내용이 있는 경우 「전자금융거래법」,

「신용정보의 이용 및 보호에 관한 법률」, 「클라우드컴퓨팅 발전 및 이용자

보호에 관한 법률」, 「개인정보보호법」, 「정보통신망 이용촉진 및 정보보호

등에 관한 법률」, 「금융기관의 업무위탁 등에 관한 규정」, 「금융회사의 정보

처리 업무 위탁에 관한 규정」 등 관련 법령과 그 하위규정을 우선하여 적용한다.

FINANCIAL SECURITY INSTITUTE

4 용어

이 가이드에서 사용되는 용어는 ｢클라우드컴퓨팅 발전 및 이용자 보호에

관한 법률｣ 제2조 및 감독규정 제2조의 정의를 따른다.

▶ 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1.“클라우드컴퓨팅”(Cloud Computing)이란 집적･공유된 정보통신기기, 정보통신설비, 소프트

웨어 등 정보통신자원(이하 “정보통신자원”이라 한다)을 이용자의 요구나 수요 변화에 따라

정보통신망을 통하여 신축적으로 이용할 수 있도록 하는 정보처리체계를 말한다.

2.“클라우드컴퓨팅기술”이란 클라우드컴퓨팅의 구축 및 이용에 관한 정보통신기술로서 가상화

기술, 분산처리 기술 등 대통령령으로 정하는 것을 말한다.

3.“클라우드컴퓨팅서비스”란 클라우드컴퓨팅을 활용하여 상용(商用)으로 타인에게 정보통신자원을

제공하는 서비스로서 대통령령으로 정하는 것을 말한다.

4.“이용자 정보”란 클라우드컴퓨팅서비스 이용자(이하 “이용자”라 한다)가 클라우드컴퓨팅서비스를

이용하여 클라우드컴퓨팅서비스를 제공하는 자(이하 “클라우드컴퓨팅서비스 제공자”라 한다)의

정보통신자원에 저장하는 정보(「국가정보화 기본법」 제3조제1호에 따른 정보를 말한다)로서

이용자가 소유 또는 관리하는 정보를 말한다.

▶ 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령

제2조(클라우드컴퓨팅기술) 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(이하 “법”이라 한다)

제2조제2호에서 “대통령령으로 정하는 것”이란 다음 각 호의 어느 하나에 해당하는 기술을 말한다.

1.집적･공유된 정보통신기기, 정보통신설비, 소프트웨어 등 정보통신자원(이하 “정보통신자원”

이라 한다)을 가상으로 결합하거나 분할하여 사용하게 하는 기술

2.대량의 정보를 복수의 정보통신자원으로 분산하여 처리하는 기술

3.그 밖에 정보통신자원의 배치와 관리 등을 자동화하는 기술 등 클라우드컴퓨팅의 구축 및 이용에

관한 정보통신자원을 활용하는 기술

제3조(클라우드컴퓨팅서비스) 법 제2조제3호에서 “대통령령으로 정하는 것”이란 다음 각 호의 어느 하나에

1.해당하는 서비스를 말한다.

1.서버, 저장장치, 네트워크 등을 제공하는 서비스

2.응용프로그램 등 소프트웨어를 제공하는 서비스

3.응용프로그램 등 소프트웨어의 개발･배포･운영･관리 등을 위한 환경을 제공하는 서비스

4.그 밖에 제1호부터 제3호까지의 서비스를 둘 이상 복합하는 서비스

▶ 감독규정

제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다.

1.“전산실”이라 함은 전산장비, 통신 및 보안장비, 전산자료 보관 및 출력장비가 설치된 장소를

말한다.

4 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

2.“전산자료”라 함은 전산장비에 의해 입력･보관･출력되어 있는 자료를 말하며 그 자료가 입력･

출력되어 있는 자기테이프, 디스크, 디스켓, 콤팩트디스크(CD) 등 보조기억매체를 포함한다.

3.“정보처리시스템”이라 함은 전자금융업무를 포함하여 정보기술부문에 사용되는 하드웨어

(hardware)와 소프트웨어(software)를 말하며 관련 장비를 포함한다.

4.“정보기술부문”이라 함은 컴퓨터 등 정보처리능력을 가진 장치를 이용하여 정보를 수집･가공･

저장･검색･송신 또는 수신을 행하는 금융회사 또는 전자금융업자의 업무, 인력, 시설 및 조직을

말한다.

5.“정보보호” 또는 “정보보안”이라 함은 컴퓨터 등 정보처리능력을 가진 장치를 이용하여 수집･

가공･저장･검색･송신 또는 수신되는 정보의 유출･위변조･훼손 등을 방지하기 위하여 기술적･

물리적･관리적 수단을 강구하는 일체의 행위를 말하며 사이버안전을 포함한다.

6.“정보보호시스템”이라 함은 정보처리시스템 내 정보를 유출･위변조･훼손하거나 정보처리시스템의

정상적인 서비스를 방해하는 행위로부터 정보 등을 보호하기 위한 장비 및 프로그램을 말한다.

7.“해킹”이라 함은 접근을 허가받지 아니하고 전자금융기반시설에 불법적으로 침투하거나 허가

받지 아니한 권한을 불법적으로 갖는 행위 또는 전자금융기반시설을 공격하거나 해를 끼치는

행위를 말한다.

8.“컴퓨터악성코드”(이하 “악성코드”라 한다)라 함은 컴퓨터에서 이용자의 허락 없이 스스로를

복사하거나 변형한 뒤 정보유출, 시스템 파괴 등의 작업을 수행하여 이용자에게 피해를 주는

프로그램을 말한다.

9.“공개용 웹서버”라 함은 인터넷 이용자들이 웹페이지를 자유롭게 보고 웹서비스(월드 와이드

웹을 이용한 서비스를 말한다)를 이용할 수 있게 해주는 프로그램이 실행되는 장치를 말한다.

10.“정보통신망”(이하 “통신망”이라 한다)이라 함은 유･무선, 광선 등 정보통신 수단에 의하여

부호･문자･음향･영상 등을 처리･저장 및 송･수신할 수 있는 정보통신 조직형태를 말한다.

11.삭제

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

클라우드서비스

이용 절차

1.사전 준비 (제3~5장)

2.계약 체결 (제6장)

3.보고 및 이용 (제7장)

4.이용 종료 (제8장)

FINANCIAL SECURITY INSTITUTE

제 장 클라우드서비스 이용 절차

금융회사는 클라우드서비스 이용 시 다음 절차에 따라 필요한 조치를 수행

함으로써 감독규정 제14조의2(클라우드서비스 이용 절차)를 준수하고 적절한

보안수준을 확보하여야 한다.

※ 개정된 감독규정의 시행(’19.1.1.) 이전 비중요 정보처리시스템 지정을 통해 클라우드서비스를

이용 중인 경우 감독규정 상 의무가 일부 배제되나(감독규정 부칙 제2조) 보안수준 확보를 위해

동 절차를 참고할 수 있다.

<클라우드서비스 이용 절차도>

8 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

※ 각 단계별 세부사항은 제3장부터 제8장까지 내용 참조

1 사전 준비 (제3~5장)

1) 업무 선정 및 평가 (제3장)

가.이용 대상 정보처리업무 선정

금융회사는 정보처리 업무 중 정보처리의 규모, 클라우드서비스 이용에

따른 비용절감, 업무 효율성 증가 등을 종합적으로 검토하여 클라우드

서비스 이용 여부를 결정하여야 한다.

나.이용 대상 정보처리업무 중요도 평가

금융회사는 해당 업무가 취급하는 정보의 중요도*, 클라우드서비스 이용이

전자금융거래의 안전성 및 신뢰성에 미치는 영향 등을 바탕으로 중요도

평가를 수행하여야 한다.

* 중요정보(고유식별정보 또는 개인신용정보)의 포함 여부 등

2) 계획 수립 (제4장)

가.업무연속성 계획 및 안전성 확보조치 방안 수립

금융회사는 클라우드서비스 이용에 따른 업무연속성 계획, 안전성 확보

조치 방안 등을 수립하여야 한다.

l 특히, 업무연속성 계획에는 금융회사의 클라우드서비스 이용 중단 또는

종료 시 데이터의 반환 및 파기 절차, 위탁계약의 종료, 중단, 변경 시

데이터 반환･파기에 관한 사항 등(이하 ‘출구 전략’)이 반영되어야 한다.

FINANCIAL SECURITY INSTITUTE

나.업무 위수탁 기준 보완 (클라우드서비스 이용관련)

금융회사는 중요도가 높은 업무의 위탁을 추진하는 경우 감독규정 별표

2의3(업무위탁 운영기준 보완사항)의 내용을 내부 업무 위수탁 기준* 에

반영하고 준수하여야 한다.

* 클라우드서비스 이용은 업무위탁에 해당하므로 ｢자본시장법｣ 제42조제7항에 따른 업무위탁

운영기준 또는 ｢금융기관의 업무위탁 등에 관한 규정｣ 제3조의2에 따른 업무 위수탁 기준

등도 준수 필요

3) 계약 준비 (제5장)

가.클라우드서비스 제공자의 건전성･안전성 등 평가

금융회사는 계약 준비단계에서 클라우드서비스 제공자의 건전성 및 안전성을

평가하여야 하며,

※ ｢[부록] 금융분야 클라우드컴퓨팅서비스 제공기준｣ 참고

l 평가결과에 따라 보완조치를 요구하거나 다른 클라우드서비스 제공자를

대상으로 신규 평가 실시 등을 추진할 수 있다.

※ 평가결과의 수용 및 계약 추진 여부에 대한 판단 기준은 금융회사가 자율적으로 정함

나.정보보호위원회 심의･의결

금융회사는 업무추진 과정의 객관성･공정성 제고, 책임인식 강화를 위해

다음 사항을 정보보호위원회에서 심의･의결하여야 한다.

l 자사 정보처리업무의 중요도 평가결과

l 클라우드서비스 제공자의 건전성･안전성 등 평가결과

l 자체 업무 위수탁 운영기준

10 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

2 계약 체결 (제6장)

가.클라우드서비스 이용 계약 체결

금융회사는 클라우드서비스 이용 계약 체결 시 감독규정 별표2의3 중

‘위수탁 계약서 주요 기재사항’을 반영하여야 한다.

l 특히, 데이터 처리 위치, 훈련(비상대응, 침해사고대응) 및 취약점 분석

평가 등에 대한 협조, 위탁업무의 이전･반환 등에 관한 사항이 누락되지

않도록 하고,

l 금융회사의 클라우드서비스 이용 관련 금융당국 검사･감독이 원활하게

수행될 수 있도록 금융당국의 조사･접근(데이터센터 등 현장방문 포함)에

협조할 의무를 반드시 명시하여야 한다.

3 보고 및 이용 (제7장)

가.관련 서류 구비 및 금융당국 보고

클라우드서비스를 이용하고자 하는 모든 금융회사는 클라우드서비스 이용과

관련하여 다음의 서류를 구비하여야 한다.

l ｢금융회사의 정보처리 업무 위탁에 관한 규정｣ 제7조제1항 각 호의 서류

l 이용 대상 정보처리업무의 중요도 평가 기준 및 결과

l 클라우드서비스 이용 관련 업무연속성 계획 및 안전성 확보조치

l 클라우드서비스 이용 관련 정보보호위원회 심의･의결 결과

특히, ｢이용 대상 정보처리업무 중요도 평가｣ 결과 중요도가 높은 업무에

대해서는 클라우드서비스를 실제 이용하려는 날의 7영업일 이전에 금융

감독원장에게 상기 서류를 보고하여야 한다.

FINANCIAL SECURITY INSTITUTE

나.서류 최신성 유지 및 수시 보고

금융회사는 클라우드서비스 이용 관련 서류를 최신 상태로 유지하고,

금융감독원장 요청 시 지체 없이 제공하여야 한다.

* 관련 서류의 최신성 유지 의무는 금융감독원장 보고 의무와 관계없이 모든 정보처리업무의

클라우드서비스 이용에 적용

금융회사는 다음의 변경사항이 발생하는 경우, 발생일로부터 7영업일

이내에 발생 사유, 관련 자료 및 대응계획을 포함하여 금융감독원장에게

보고하여야 한다.

l 클라우드서비스 제공자의 합병, 분할, 계약상 지위의 양도, 재위탁 등의

사유로 클라우드서비스 이용 계약에 중대한 변경사항이 발생한 경우

l 클라우드서비스 제공자가 서비스품질의 유지, 안전성 확보 등과 관련한

중요 계약사항을 이행하지 아니한 경우

l 이용 대상 정보처리업무의 중요도 평가 기준･결과, 업무연속성 계획 및

안전성 확보조치에 관한 중대한 변경사항이 발생한 경우

다.리스크 관리

금융회사는 클라우드서비스 이용 시 사전에 수립한 업무연속성 계획 및

안전성 확보조치 등을 준수하여 리스크를 관리하고, 필요 시 클라우드

서비스 제공자에게 협조를 요청하여야 한다.

4 이용 종료 (제8장)

금융회사는 클라우드서비스 이용이 종료(업무 장애･지연 등으로 인한

일시적 서비스 이전 등 포함)되는 경우 사전 수립된 출구 전략에 따라

적절한 조치를 취해야 한다.

12 금융보안원

제 장

업무 선정

및 평가

1.이용대상 선정

2.중요도 평가 실시

FINANCIAL SECURITY INSTITUTE

제 장 업무 선정 및 평가

1 이용대상 선정

금융회사는 정보처리업무 중 클라우드서비스 이용에 따른 효율성 등을

감안하여 이용대상을 선정하여야 한다.

l 다음의 예시와 같이 자체 시스템 구축에 비하여 클라우드서비스 이용이

유리하다고 판단되는 경우 클라우드서비스 이용을 적극 고려할 수 있다.

①AI, 빅데이터 등 신기술 활용으로 대량의 컴퓨팅 자원이 단기간에 요구되는 경우

②신규 또는 파일럿 서비스를 구축하여야 하나, 시스템 사용량 규모에 대한 사전 예측이 어려운 경우

③시스템 사용량의 변동이 매우 큰 서비스인 경우

④짧은 시간 안에 구축이 필요하거나 기술 변화에 대한 민첩한 대응이 요구되는 경우

⑤사전 테스트 등 임시적으로 대용량의 시스템이 필요한 경우

⑥클라우드서비스 도입 또는 전환에 필요한 초기 투자비용보다 클라우드서비스 이용에 따른 운영

비용 절감이 더 크다고 판단되는 경우

⑦자체 시스템을 안전하게 보유･운영할 역량이 부족하나, 내부 운영 인력 등이 클라우드서비스

이용에 필요한 역량을 충분히 갖추고 있는 경우

⑧기타 금융회사의 전략 이행을 위해 필요하다고 판단되는 경우

그러나, 금융회사의 핵심 업무 수행을 위한 정보처리에 대해서는 효율성

이외에도 업무 중요도, 취급 정보의 민감도, 경영전략 등 다양한 요소를

종합적으로 고려해야 한다.

14 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

2 중요도 평가 실시

금융회사는 개별 업무 특성과 다음 사항을 고려하여 자체적으로 중요도 평가 기준을

수립하고, 클라우드서비스 이용 대상 업무에 대해 중요도 평가를 실시하여야 한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

①금융회사 또는 전자금융업자는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

1.자체적으로 수립한 기준에 따른 이용대상 정보처리시스템의 중요도 평가

가.고유식별정보* 또는 개인신용정보** 처리 시 중요 업무로 취급

* 개인정보보호법 제24조제1항에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서

주민등록번호, 여권번호, 면허번호, 외국인등록번호 등이 해당

** 「신용정보의 이용 및 보호에 관한 법률」 제2조제2호에 따라 신용정보 중 개인의 신용도와

신용거래능력을 판단할때 필요한 정보

※ 다만, 전자금융거래와 관련이 없고 고객정보와 무관한 정보 처리 시 해당되지 않음

(예, 내부직원 정보)

나.고유식별정보 또는 개인신용정보를 직접 처리하지 않는 경우에도 아래

사항을 고려하여 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미칠

경우 중요 업무로 취급

①처리 정보의 중요도 및 정보 위･변조･유출 시 금융회사 및 금융소비자에

미칠 수 있는 영향

②업무 중단 발생 시 주요 금융 기능 이행 및 운영･법적･평판 리스크에

미치는 영향

③업무 중단이 금융회사의 수익 및 운영 비용에 미치는 영향

④사고 또는 장애 발생 시 타 시스템의 업무 연속성 저해 수준 등 타

시스템과의 연계성

⑤복구 목표시간 등 해당 정보처리시스템의 업무 중요도

⑥운영, 개발, 테스트 시스템 등 정보처리시스템의 용도

⑦고객 또는 사내직원 등 이용자 유형에 따른 해당 정보처리시스템 이용자 수 등

FINANCIAL SECURITY INSTITUTE

주요국 금융권 지침 내 업무 중요도 평가 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 - 4.1 중요도 평가

1) 금융회사(위탁 기관)는 업무 위탁 전 대상 업무를 평가하여 중요 업무를 선별해야 한다. 금융회사는

CEBS 지침의 가이드라인 1 (f)에 근거하여 업무의 중요성 평가를 수행해야하며 특히 클라우드서비스

제공 업체에 대한 위탁과 관련하여 다음 사항을 모두 고려해야한다.

(a) 위탁하는 업무의 중요성 및 내재한 위험 프로파일(즉, 금융회사의 비즈니스 연속성과 고객에 대한

의무에 있어 중요한/결정적인 업무)

(b) 중단으로 인한 직접적인 운영 영향 및 법적 위험과 평판 위험

(d) 기밀성 훼손 또는 데이터 무결성 위배가 금융회사 및 고객에게 미칠 수 있는 잠재적 영향

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 2. 상당한 주의(Due Diligence) 中

금융 기관이 전략 계획을 달성하기 위해 제3자를 사용한다고 해서 제3자 활동이 안전하고 건전한 방식으로, 그리고

관련 법률 및 규정을 준수하여 수행되는지 확인하는 이사회 및 경영진의 책임이 줄어들지 않는다. 클라우드서비스

공급자에게 아웃소싱 하는 것은 비용 절감, 유연성, 확장성, 향상된 부하 균형 조정 및 속도와 같은 잠재적인 이점

때문에 금융 기관에 유리할 수 있다. 중요한 기능의 위탁을 승인하기 전에, 이러한 조치가 이사회 및 고위

경영진이 승인한 해당 기관의 전략 계획 및 회사 목표와 일치하는지 확인하는 것이 중요하다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – 3.6

(3.6) 다른 유형의 기업은 다른 요구사항을 적용해야 하며, 이는 위탁하는 기능의 유형에 따라 결정될 수 있다.

위탁하는 기능이 심각한(critical or important) 것인지, 중요 위탁(material outsourcing)에 해당하는지

여부가 특히 관련이 있으며, 공인 지불 기관 및 공인 전자 화폐 기관의 경우 기관이 중요 운영 기능

(important operational functions)과 관련이 있는지 여부가 특히 관련 있다. 이러한 용어는 위탁과 관련된

용어이며 다음과 같은 핸드북 또는 규정에 정의되어 있다.

∙Critical or important - 업무 수행상의 결함이나 실패로 인해 공식 인가, 규제 시스템에 따른 기타

의무, 재무 실적에 관한 기업의 조건 및 의무 또는 관련 서비스 및 업무의 건전성 연속성에 큰 영향을

미치는 경우 해당 기능은 중대하거나 중요하다고 간주한다(고위 관리자 배치 및 시스템 통제 Senior

Management Arrangements, Systems and Controls (SYSC 8.1.4R). MiFID 조직 규정의

제 30조에 비슷한 정의가 있다.

∙Material outsourcing - FCA 안내서에 정의된 바와 같이 서비스의 취약점 또는 실패 시 기업이 임계

조건을 만족할 수 없거나 기업 원칙을 준수할 수 없을 정도로 중요한 위탁 서비스를 말한다.

∙중요 운영 기능(Important operational functions) - 2011년 전자 화폐 규칙(Electronic Money

Regulations 2011) 및 2017년 지불 서비스 규정(Payment Services Regulations 2017)에 따라, 업무

수행상의 결함이나 실패로 인해 다음 사항에 심각한 영향을 미친다면 해당 기능이 중요하다고 여겨진다.

(a) 공인 기관의 규정 및 공식 허가 요구사항에 대한 컴플라이언스

(b) 공인 기관의 재무 실적

우리는 위탁 관련 규정을 해석하고 적용하는 접근 방식을 설명하는 자료를 발표했다.

4.(싱가포르-MAS) 아웃소싱 가이드라인 – 부칙2 중요 아웃소싱

1.기관은 아웃소싱 계약의 중요성을 평가해야 한다. MAS에서는 중요성을 평가할 때 정성적인 판단이

16 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

개입되며 각각의 기관에서 직면하는 상황이 서로 크게 다를 수 있다는 점을 인지하고 있다. 기관에서

고려해야 하는 요인을 예로 들면 다음과 같다.

(a) 아웃소싱 할 비즈니스 업무 활동의 중요도(예: 수익 및 이윤에 대한 기여도 관련)

(b) 소득, 지급능력, 유동성, 펀딩 및 자본과 리스크 프로필 등에 아웃소싱이 미칠 수 있는 잠재적인

영향력

평판 및 브랜드 가치, 기관이 비즈니스 목표, 전략과 계획을 달성할 능력 등에 미치는 영향(예: 고객

정보 누출)

(d) 서비스 제공업체가 서비스를 이행하지 못하거나 기밀성 또는 보안 침해가 발생하는 경우 기관의

고객에게 미치는 영향

(e) 서비스 제공업체가 서비스를 이행하지 못하는 경우 기관의 계약 상대방 및 싱가포르 금융 시장에

미치는 영향

(f) 아웃소싱 비용이 기관의 운영 비용 총액에서 차지하는 비율

(g) 아웃소싱 실패 시 치러야 하는 비용. 이 경우 기관은 아웃소싱 된 업무 활동을 사내로 들여오거나

다른 서비스 제공업체로부터 유사한 서비스를 알아보아야 하며, 이 비용은 기관의 운영 비용 총액의

일부분을 차지한다.

(h) 기관이 여러 업무를 같은 서비스 제공업체에 아웃소싱 하는 경우 특정 서비스 제공업체에 대한 통합

노출 리스크

(i) 서비스 제공업체에 운영 문제가 생기는 경우 적절한 내부 통제 수단을 유지하고 규제 요구사항에

부합할 능력

2.규정 준수, 사내 감사, 재무 회계 및 보험계리 등(인증 업무 활동을 수행하는 것 외) 리스크 관리 또는

내부 통제 업무 전량 또는 상당량을 아웃소싱 하는 경우 이는 중요 아웃소싱 계약으로 간주된다.

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

계획 수립

1.업무 연속성 계획 수립

2.출구 전략 수립

(업무 연속성 계획에 포함)

3.안전성 확보조치 방안 수립

4.업무 위수탁 운영기준 마련

FINANCIAL SECURITY INSTITUTE

제 장 계획 수립

※ 클라우드서비스 관련 보안 위협

금융회사 대상으로 발생할 수 있는 일반적인 보안 위협 중 클라우드서비스 이용 시 그 영향이 큰

위협이 있으며, 클라우드서비스 고유의 보안 위협도 일부 존재한다. 금융회사는 업무 연속성 계획

및 안전성 확보조치 방안 수립 시 이를 적극 고려하여야 한다.

20 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

1 업무 연속성 계획 수립

금융회사는 클라우드서비스에 대해 예상치 못한 재해 또는 사고 발생 시

업무 연속성에 미칠 수 있는 영향을 파악하고, 데이터 백업, 재해복구 및 침해

사고대응 훈련 계획, 출구 전략 등을 포함한 업무 연속성 계획을 수립하여 이행

하여야 한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

④제3항에 따라 금융감독원장에게 보고할 경우 첨부해야 하는 서류는 다음 각 호와 같다.

3.클라우드컴퓨팅서비스 이용 관련 업무 연속성 계획 및 안전성 확보조치에 관한 사항

가.데이터 백업

백업할 데이터를 선정하고, 업무 중요도에 따라 데이터 이중화 또는 소산

등 다양한 방법을 고려하여 클라우드서비스 제공자의 데이터 손실 사고

등에 대비할 것

l 또한, 데이터 복원 테스트 및 데이터 무결성 테스트를 정기적으로 안전

하게 수행할 것

백업 데이터를 위한 적절한 접근 통제를 실시하고, 관련 법령에 따라

암호화 등 적절한 보호조치를 취할 것

나.훈련 및 사고 관리

금융회사가 관련 규정에 따라 위기대응행동매뉴얼 및 비상대책을 마련하고,

비상대응훈련 및 재해복구전환훈련을 연 1회 이상 실시(감독규정 제23,24조)

할 때 대상 시스템이 클라우드서비스 이용을 이유로 제외되지 않도록 할 것

l 필요 시 클라우드서비스 제공자에 협조를 요청하여 합동으로 훈련을

진행하여야 하며, 클라우드서비스 제공자의 자체 재해복구 훈련 계획

및 주기적인 훈련 실시 여부를 확인할 것

FINANCIAL SECURITY INSTITUTE

사고 발생 시 클라우드서비스 제공자와 금융회사 간의 역할 분담 및 대응

절차를 문서화하여 관리하고, 관련 규정에 따라 침해사고대응훈련(감독

규정 제37조의4) 수행 시 대상 시스템이 클라우드서비스 이용을 이유로

제외되지 않도록 할 것

l 금융회사와 클라우드서비스 제공자 간 비상 연락 체계를 사전에 확보

하고, 상황 발생 시 관련 규정에 따라 신속히 대응할 것

※ 중요도가 높은 시스템의 경우 필요 시 해당 클라우드서비스 제공자와 침해사고대응기관

간 핫라인을 구축할 것

업무 별 복구목표시간 및 복구목표시점을 정하고 클라우드서비스 제공자와

사전 협의할 것

<업무 연속성 계획 수립 관련 참고 규정>

▶ 감독규정

제23조(비상대책 등의 수립･운용)

①금융회사 또는 전자금융업자는 장애･재해･파업･테러 등 긴급한

상황이 발생하더라도 업무가 중단되지 않도록 다음 각 호의 내용을 포함한 업무지속성 확보방안을

1.수립･준수하여야 한다.

1.상황별 대응절차

2.백업 또는 재해복구센터를 활용한 재해복구계획

3.비상대응조직의 구성 및 운용

4.입력대행, 수작업 등의 조건 및 절차

5.모의훈련의 실시

6.유관기관 및 관련업체와의 비상연락체제 구축

7.보고 및 대외통보의 범위와 절차 등

②제1항에 따른 업무지속성 확보대책에는 비상사태에 대비한 다음 각 호의 안전대책이 반영되어야

1.한다.

1.파업 시 핵심전산업무 종사자의 근무지 이탈에 따른 정보처리시스템의 마비를 방지하기 위하여

비상지원인력을 확보･운영할 것

2.비상사태 발생 시에도 정보처리시스템의 마비를 방지하고 신속히 원상복구가 될 수 있도록 정보

처리시스템 운영에 대한 비상지원인력 또는 외부 전문 업체를 활용하는 방안을 수립･운영할 것

3.비상지원인력이 사용법을 충분히 이해하고 업무운용이 가능한 수준으로 전산시스템 운영지침서,

사용자매뉴얼 등을 쉽고 자세하게 작성하고 최신상태로 유지할 것

4.핵심전산업무 담당자 부재 시에도 비상지원 인력이 업무를 수행할 수 있도록 비상지원인력에

대한 연수를 실시할 것

③금융회사 또는 전자금융업자는 제1항의 규정에 따른 업무지속성 확보대책의 실효성･적정성 등을

매년 1회 이상 점검하여 최신상태로 유지하고 관리하여야 한다.

22 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

④「국가위기관리기본지침」에 따라 금융위원회가 지정한 금융회사는 금융위원회의 「금융전산분야위

기대응실무매뉴얼」에 따라 위기대응행동매뉴얼(이하 “행동매뉴얼”이라 한다)을 수립･준수하고 이를

금융위원회에 알려야 한다.

⑤금융위원회가 별도로 지정하지 아니한 금융회사 또는 전자금융업자는 자연 재해, 인적 재해, 기술적

재해, 전자적 침해 등으로 인한 전산시스템의 마비 방지와 신속한 복구를 위한 비상대책을 수립･운영

하여야 한다.

⑥제4항에 따른 행동매뉴얼 또는 제5항에 따른 비상대책에는 제1항의 규정에 따른 업무지속성 확보

대책이 반영되어야 한다.

⑦금융회사 또는 전자금융업자는 중앙처리장치, 데이터저장장치 등 주요 전산장비에 대하여 이중화

또는 예비장치를 확보하여야 한다.

⑧(생략)

⑨제8항 각 호의 금융회사는 업무별로 업무지속성 확보의 중요도를 분석하여 핵심업무를 선정

하여야 하며, 업무별 복구목표시간을 정하여야 한다. 이 경우 핵심업무의 복구목표시간은 3시간 이내로

하되, ｢보험업법｣에 의한 보험회사의 핵심업무의 경우에는 24시간 이내로 한다.

⑩제8항의 규정에 따른 재해복구센터를 운영하는 금융회사는 매년 1회 이상 재해복구센터로 실제

전환하는 재해복구전환훈련을 실시하여야 한다.

제24조(비상대응훈련 실시)

①금융회사 또는 전자금융업자는 제23조제4항에 따른 행동매뉴얼 또는

같은 조 제5항에 따른 비상대책에 따라 연 1회의 비상대응훈련을 실시하고 그 결과를 금융위원회에

보고하여야 한다. 이때, 제23조제10항에 따른 재해복구전환훈련을 포함하여 실시할 수 있다.

②~

③(생략)

④금융회사 또는 전자금융업자는 제1항 및 제2항에 따른 의무의 이행을 위하여 전자금융보조업자

에게 협조를 요청할 수 있다.

제37조의4(침해사고대응기관 지정 및 업무범위 등)

①~

④(생략)

⑤금융회사 및 전자금융업자는 침해사고에 대한 대응능력 확보를 위하여 연 1회 이상 침해사고 대응

및 복구훈련 계획을 수립･시행하여야 하며 그 계획 및 결과를 침해사고대응기관의 장에게 제출하여야

한다. 다만 다음 각 호의 어느 하나에 해당하는 금융회사는 그러하지 아니한다.

1.~4. (생략)

⑥~

⑦(생략)

FINANCIAL SECURITY INSTITUTE

주요국 금융권 지침 내 업무연속성 확보 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.8 비상계획 및 출구전략 中

26) CEBS 지침 6.1, 6(6)(e) 및 8(2)(d)에 명시된 바와 같이, 금융회사는 위탁 서비스 제공 업체가 실패

하거나 부적절하게 수준으로 악화된 상태로 서비스를 제공하는 경우 사업의 연속성을 유지하기 위한

계획을 수립하고 이행해야한다. 이러한 준비에는 비상 계획 및 명확하게 정의 된 출구 전략이 포함

되어야 한다. (중략)

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 7. 업무 연속성 계획

금융 기관의 비즈니스 연속성 계획 프로세스에는 아웃소싱 활동을 포함하여 전체 비즈니스의 복구, 재개

및 유지 관리가 포함된다. 금융 기관은 클라우드 컴퓨팅 서비스 공급자에게 아웃소싱 하는 것을 고려할 때,

서비스 제공 업체와 네트워크 제공자가 금융 기관의 운영 지속성을 보장 할 수 있는 적절한 계획과 자원을

보유하고 있는지, 예기치 않은 중단이 발생할 경우 운영을 복구 및 재개 할 수 있는 능력이 있는지를

판단할 필요가 있다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항 – 연속성 및 비즈니스 계획>

기업은 예상치 못한 위탁 서비스 중단 시 계속해서 기능을 수행하고 규제 사항을 준수할 수 있도록 적절한

조치를 취해야한다. 기업은 다음을 수행해야한다.

∙예상치 못한 혼란이 운영 연속성에 미칠 수 있는 영향 및 가능성을 고려해야한다.

∙사고 복구를 포함하여 운영 연속성을 유지하기 위한 전략과, 상호 소통 및 전략의 적절성과 유효성을

정기적으로 테스트하기 위한 계획을 문서화해야 한다.

∙정기적으로 업데이트 및 테스트를 실시하여 효율성을 확보해야 한다.

∙파산이나 기타 혼란 상황이 발생했을 때 규제 기관이 데이터에 접근할 수 있도록 조치를 취해야 한다.

4.(싱가포르-MAS) 아웃소싱 가이드라인 – 5.7 비즈니스 연속성 관리

5.7.1 기관은 아웃소싱 계약으로 인해 자사 비즈니스 연속성이 저해되지 않도록 주의해야 한다. 특히 기술

리스크 관리 공지에 따라 중요 시스템으로 규정된 시스템을 각별히 주의한다. 기관은 MAS에서 발간한

비즈니스 연속성 관리(“BCM”) 가이드라인에 기재된 건실한 실무 관례 및 표준을 이용하여 아웃소싱이

자사 리스크 프로필에 미치는 영향을 평가하고 효과적인 BCM을 실행한다.

5.7.2 BCM 가이드라인과 같은 맥락에서, 기관은 아웃소싱 계약으로 인해 발생하는 상호의존 리스크를

적절히 완화할 수 있는지 평가하고 자체적으로 확인해야 한다. 이렇게 해야 서비스가 중단되거나 오류가

발생하는 경우, 또는 아웃소싱 계약이 예기치 않게 해지되거나 서비스 제공업체가 파산하는 경우에도

자사 비즈니스를 결함 없이 사려 깊게 영위할 수 있다. 여기에는 다음과 같은 조치를 취하는 것이 포함

되어야 한다.

(a) 서비스 제공업체에 아웃소싱 계약의 성격, 범위 및 복잡성에 상응하는 만족스러운 비즈니스 연속성

계획(이하 “BCP”)이 마련되어 있는지 확인한다. 아웃소싱 계약서에 서비스 제공업체의 BCP 요구

사항, 특히 복구 목표 시간(Recovery Time Objectives, 이하 “RTO”) 및 복구 목표 지점

(Recovery Point Objectives, 이하 “RPO”)과 운영 능력 재개 등에 관한 항목을 포함해야 한다.

(b) 사전 예방적인 형태로 서비스 제공업체의 BCP 준비 상태를 확인한다. 또는 가능한 경우 합동

테스트에 참가한다. 서비스 제공업체가 자사 BCP 계획을 정기적으로 테스트하고 테스트를 통해

RTO, RPO 및 운영 능력 재개의 실현 가능성을 검증해야 한다. 그러한 테스트는 기관과 서비스

제공업체가 복구 프로세스에 익숙해지는 데 도움이 되고, 관계 당사자들의 조직력을 개선하는

24 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

효과도 있다. 기관은 서비스 제공업체에 서비스 제공업체의 이행 능력에 영향을 미칠 수 있는 테스트

결과가 나온 경우 그러한 사실을 자사에 알리도록 요구해야 한다. 또한 기관은 서비스 제공업체에

서비스 제공업체의 BCP 계획에 중대한 변동이 발생하였거나 기관에 제공되는 서비스에 중대한

영향을 미칠 가능성이 있는 불리한 상황이 전개되는 경우 그러한 사실을 모두 자사에 알리도록

요구해야 한다.

기관이 비즈니스를 계속해서 영위할 수 있어야 하며, 이전에 서비스 제공업체에 제공한 모든 문서,

거래 기록 및 정보를 즉시 서비스 제공업체의 소유로부터 회수하여 삭제, 파기하거나 사용할 수

없게 만들어야 한다.

5.7.3 기관은 자사 BCP 계획의 기능성과 효과를 보장하기 위하여 아웃소싱 계약의 성격, 범위 및 복잡성에

상응하는 정기적이고 온전하며 유의미한 BCP 테스트를 고안하여 수행해야 한다. 온전하고 유의미한

테스트를 실시하기 위해 기관에서는 자사 BCP 검증 및 자사 임직원의 인식과 준비성 평가 과정에

서비스 제공업체를 관여시키는 것이 좋다. 이와 마찬가지로, 기관은 자사 서비스 제공업체의 BCP 및

재해 복구 연습에 참가해야 한다.

5.7.4 기관은 비즈니스 연속성 계획에서 최악의 상황을 가정한 시나리오를 감안해야 한다. 이러한 가상

시나리오의 몇 가지 예를 들면 아웃소싱 계약이 예기치 못하게 해지되어 서비스 제공업체를 이용할

수 없는 경우, 서비스 제공업체의 파산 및 광역 서비스 중단으로 인하여 기관과 서비스 제공업체 양측

모두에 부수적인 피해가 발생하는 경우 등이 있다. 금융 체제에 대한 기관의 상호의존도가 높은 경우,

기관의 비즈니스 연속성 준비성도 그에 따라 높은 수준으로 유지해야 한다. 감당할 수 없는 비용을 발

생시키지 않고 운영을 재개하기 위한 현실적인 대안을 파악하는 것 또한 상호의존 리스크를 완화하는데

필수적이다.

FINANCIAL SECURITY INSTITUTE

2 출구 전략 수립 (업무 연속성 계획에 포함)

클라우드서비스 제공자의 파산, 서비스 중단, 서비스 품질 저하, 규제 환경의

변화 또는 기타 금융회사의 필요에 따른 이용 중단 등에 대비하여 클라우드

서비스 이용 전환 및 종료에 대한 출구 전략을 사전 수립하여 문서화하여야

한다.

▶ 감독규정 [별표 2의3] 업무위탁 운영기준 보완사항 中

3.비상대책 등에 관한 사항

∙합병･분할, 계약상 지위의 양도, 재위탁 등 중요 상황 발생 시 대책(업무 연속성 계획 포함)에 관한

사항

∙위탁업무를 다른 수탁자 또는 클라우드컴퓨팅 업무를 위탁한 금융회사 및 전자금융업자에 이전

시키는 경우 업무 장애･서비스지연, 이전을 지원할 의무 등 전환계획에 관한 사항

∙위탁계약의 종료, 중단, 변경 시 데이터 반환･파기에 관한 사항

출구 전략은 이행 지표와 세부 이행 절차로 구성되며, 업무 연속성 계획에

포함하여야 한다.

가.출구 전략 이행 지표 설정

출구 전략 이행이 필요한 상황을 사전에 정의하고, 해당 상황을 판단할

수 있는 지표를 설정하고 모니터링 할 것

출구 전략 이행에 대한 성공 기준*을 사전에 정의할 것

* (예) 서비스 제공 또는 규제 체제 준수에 부정적 영향을 미치지 않으며 서비스 제공의 연속성과

품질에 지장을 주지 않고 클라우드서비스 위탁 계약을 종료

나.출구 전략 이행 절차 정의

출구 전략 이행 절차에 대한 전사적인 기본 방향 및 정책을 수립하고,

이행에 필요한 조직별 역할 및 책임을 사전에 정의할 것

26 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

개별 정보처리시스템에 대한 출구 전략 세부 이행 절차를 정의하고, 이행에

필요한 인적･물적 자원과 예상 소요시간을 정의할 것

※ 출구 전략 세부 이행 절차 내 필수 포함 사항

∙출구 전략 방법(이전, 대체, 재개발 등)

∙대체 사업자 또는 솔루션

∙기존 클라우드서비스 제공자 시스템에서 데이터를 복구할 수 없도록 파기하는 절차 및 방법

∙업무 연속성을 유지하면서 기존 업무 및 데이터를 대체 시스템에 이전하는 절차 및 방법

∙이전 시점 및 소요시간, 인력 및 비용

다.출구 전략 수립 관련 고려사항

중요도가 높은 정보처리시스템에 대해서는 출구 전략을 보다 정밀하게

수립하고, 대안을 충분히 마련할 것

중요도가 높은 정보처리시스템에 대해서는 출구 전략 이행이 용이한 구현

방식을 고려할 것

※ 구현 방식에 따른 출구 전략 이행 용이성

∙(IaaS) 컨테이너 방식 이용 시 출구 전략 이행이 용이하고, 클라우드서비스 제공자의

관리 서비스 등에 의존도가 높으면 이행 용이성이 떨어짐

∙(PaaS, SaaS) 클라우드서비스 제공자가 자체 인프라가 아닌 제3의 IaaS 제공자 인프라를

이용하여 서비스를 제공하는 경우 상대적으로 출구 전략 이행 용이

출구 전략 관련 훈련 및 이행을 위해 클라우드서비스 제공자의 지원을

충분히 받을 수 있도록 계약서에 관련 내용을 명시할 것

※ 출구 전략 이행을 위해 필요한 계약서 명시사항은 ｢제6장 계약 체결｣ 참조

FINANCIAL SECURITY INSTITUTE

주요국 금융권 지침 내 출구 전략 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.8 비상계획 및 출구전략

26) (중략) 이러한 준비에는 비상 계획 및 명확하게 정의 된 출구 전략이 포함되어야 한다. 또한 위탁

계약에는 위탁 서비스 제공 업체가 제공하는 활동을 다른 위탁 서비스 제공 업체로 이전하거나 금융

회사로 재편성 할 수 있는 종료 및 종료 관리 조항이 포함되어야 한다.

27) 위탁 기관은 필요한 경우 서비스 제공 또는 규제 체제 준수에 부정적 영향을 미치지 않으며 서비스

제공의 연속성과 품질에 지장을 주지 않고 클라우드 위탁 계약을 종료할 수 있도록 해야 한다. 이를

위해 금융회사는 다음을 수행해야 한다.

(a) 적절하고 포괄적이며 문서화 되고 충분히 테스트 된 출구 계획을 개발하고 구현한다.

(b) 대체 솔루션을 식별하고 전환 계획을 개발하여 전환 단계에서 데이터 위치 문제 및 비즈니스 연속성

유지를 고려하여 통제되고 충분히 검증된 방법으로 클라우드 서비스 제공자의 기존 업무 및 데이터를

제거하고 대체 솔루션으로 전달할 수 있도록 한다.

이전할 수 있도록, 위탁 계약에 클라우드 서비스 제공자에게 금융회사를 충분히 지원할 의무가 포함

되도록 해야 한다.

28) 출구 전략을 개발할 때 금융회사는 다음 사항을 고려해야 한다.

(a) 받아들일 수 없는 수준의 서비스를 식별하기 위한 주요 위험 지표 개발

(b) 출구 전략을 이행하는 데 필요한 인적/물적 자원과 소요 시간을 식별하기 위하여 위탁된 활동에

상응하는 비즈니스 영향 분석을 수행

(d) 전환 성공 기준을 정의

29) 금융회사는 지속적인 서비스 모니터링과 클라우드 서비스 공급자가 제공하는 서비스 감독에 있어 출구

계획을 유발할 수 있는 지표를 포함해야 한다.

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 3. 공급 업체 관리 中

서비스 제공 업체의 해약은 특히 소규모 금융 기관의 경우 클라우드 컴퓨팅에서 복잡해질 수 있는 공급

업체 관리의 또 다른 측면이다. 계약 및 서비스 수준 협약은 데이터의 소유권, 위치, 형식 및 분쟁 해결에

대해 구체적이어야 한다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항 – 출구전략>

기업은 원할 경우 서비스 제공에 차질 없이 규정을 준수하면서 위탁 계획을 해지할 수 있어야한다. 기업은

다음을 수행해야한다.

∙ 이해되고 문서화 되며 충분히 검증된 출구 계획 및 해지 약정을 세워야 한다.

∙ 대체 서비스 제공자로 전환하고 비즈니스 연속성을 유지하는 방법을 인지하고 있어야 한다.

∙ 위탁 제공자는 기업 및 새로운 위탁 제공자(들)와 완벽하게 협력하여 원활히 전환될 수 있도록 보장해야

할 의무를 지닌다.

∙ 해지 시 서비스 제공자의 시스템에서 데이터를 제거하는 방법을 알고 있어야한다.

∙ 편중된 위험을 모니터링하고 위탁 제공자가 파산할 경우 취할 조치를 고려해야 한다.

4.(싱가포르-ABS) 클라우드 컴퓨팅 구현 가이드 – Section3: 6. 출구 계획

출구 계획은 아웃소싱 계약의 중요도 및 금융회사의 운영에 미치는 잠재적 영향에 따라 내용이 달라져야

28 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

한다. 출구 계획 수립 시 다음 사항을 고려하여야 한다.

∙데이터가 복구할 수 없도록 삭제하기 위해 사용하는 절차 및 도구

∙위탁 계약 종료 시 모든 금융회사 데이터(고객정보 등)를 삭제하고 모든 데이터가 복구할 수 없다는 것을

확인할 것

∙서비스 연속성을 위한 위탁된 서비스의 이전성(제3자에게 이전 또는 금융회사로 복귀)

서비스 연속성을 위한 데이터 복구 시 금융회사는 다음 사항이 적절한지 확인해야 함

∙CSP가 출구 절차를 지원하기 위한 법적 계약. 이 계약은 서비스 제공자가 기 협의된 주기로 출구 계획

테스트를 지원하도록 함. 이는 데이터가 금융회사로 반환되는 형식 및 방식과, 공급업체의 계약상 의무

지원 내용을 포함해야함. 금융회사가 CSP가 제공한 연계 공급업체 소프트웨어를 사용하는 경우, 계약이

종료될 때 해당 데이터를 사용할 수 있어야 함.

∙추출하여 금융회사에 반환해야 하는 데이터 요소는 위탁 계약 시작 시 합의되어야 하며, 위탁 계약에

중대한 변경이 있을 때마다 검토되어야 함

FINANCIAL SECURITY INSTITUTE

3 안전성 확보조치 방안 수립

클라우드서비스 관련 보안사고의 예방을 위해 계정관리, 접근통제 등 필수

보안 통제가 구현되도록 안전성 확보조치 방안을 수립하여 이행하여야 한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

④제3항에 따라 금융감독원장에게 보고할 경우 첨부해야 하는 서류는 다음 각 호와 같다.

3.클라우드컴퓨팅서비스 이용 관련 업무 연속성 계획 및 안전성 확보조치에 관한 사항

다만, 업무 중요도 평가 결과에 따라 수행 범위를 조정할 수 있다.

<업무 중요도 별 적용 범위(예시)>

중요도

중요 비중요

항목

계정 관리 ◎ ◎

접근 통제 ◎ ◎

내부 시스템･단말기와의 연계 ◎ ◎

암호화 및 키 관리 ◎ △

로깅 ◎ ○

가상 환경 보안 ◎ ○

보안 모니터링 및 취약점 분석 평가 ◎ ○

인적 보안 ◎ ◎

※ ◎: 강력 권고, ○: 권고, △: 금융회사 재량

다만, 권고 여부와 무관하게 법규에서 요구되는 사항은 필수

가.계정 관리

각 관리자 및 이용자에 대한 개별 계정을 생성할 것

l 기능과 역할에 따라 그룹을 구분하고, 적절한 권한을 그룹별로 할당하여

관리할 것

30 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

<그룹 구분 예시>

그룹 권한

보안 관리자 보안 그룹 및 규칙 생성/수정/삭제

개발자 개발 인스턴스 시작/중지/종료 권한

운영자 프로덕션 시작/중지/종료 권한

계정 관리자 사용자 추가/삭제

특별 권한이 있는 계정(이하, 특권 계정)을 정의하고 집중 관리를 실시

할 것

※ (집중 관리 예시) 사용 이력･접근 기록 로깅 및 주기적 검토, 멀티팩터 인증, 설정 변경

요청･승인 절차 공식화, 특권 계정 관리자와 일반 사용자 계정 관리자 분리 등

나.접근 통제

클라우드서비스 제공자 구간에 위치한 정보처리시스템에 대해 동일 클라

우드서비스를 이용하는 외부기관의 통신망과 분리･차단하고 접속을 금지

할 것

l 내부망 정보처리시스템이 클라우드서비스 제공자 구간에 위치한 경우,

인터넷 등 외부통신망과도 분리･차단하고 접속을 금지할 것

※ 금융회사 전산실 내 물리적 망분리 구조를 논리적으로 구현

보안관리 등 모든 시스템 원격 접근 절차를 문서화하여 관리하고, 정기적으로

검토할 것

특권 계정은 금융회사 내 별도로 분리된 관리용 단말기에서만 접근 가능

하도록 할 것

※ 금융회사 단말기와 클라우드서비스 시스템 간 연결 관련 세부 내용은 ｢다. 금융회사 내부

시스템과의 연계｣ 참조

관리서비스 이용 등으로 클라우드서비스 제공자가 시스템 또는 소프트

웨어에 접근 권한이 있는 경우 클라우드서비스 제공자의 관리 기록을

로깅하고, 주기적으로 검토할 것

FINANCIAL SECURITY INSTITUTE

접근통제 및 네트워크 정보보호 요구사항(출처: KISA 클라우드 정보보호 안내서)

①서비스 연결은 승인하기 전에 모든 사용자(또는 단말기)의 접속은 정책에서 규정된 절차에

따라 인증하고, 접속로그를 관리하며 모니터링을 해야 한다.

∙인증 시 사용하는 패스워드 조합 규칙 준용

- 세 가지 종류 이상의 문자구성으로 8자리 이상의 길이로 구성된 문자열

접속 관리 - 두 가지 종류 이상의 문자구성으로 10자리 이상의 길이로 구성된 문자열

및 제한 ∙로그인 횟수제한(5회), 잠김해제(120초) 준용

∙하나의 사용자가 동시에 여러 세션을 소유하는 것을 제한

②통신 세션의 기밀성을 보장하기 위해 안전한 암호 기술을 적용한다.

∙통신세션 기밀성은 SSL/TLS, VPN 등 안전한 보호기술 적용

③내부정책에서 제한하는 모바일 단말기의 통제 대책을 마련한다.

①서로 다른 이용자 계정의 충돌을 최소화하기 위하여 접근을 허용하는 영역이나 권한 등을

계정 분할

분리한다.

및 권한

②사용자에 부여하는 역할･권한을 최소한의 범위로 제한해야 한다.

최소화

③정책서의 계정관리 주기에 따라 점검 및 이용자 변경 사항은 즉시 정책에 반영한다.

①네트워크 접근통제를 H/W 형태, S/W 형태, API 형태 중 어떤 것을 선택할 것인지

고려해야 한다.

※ 클라우드서비스 업체에서 제공하는 방식에 대해 확인필요

∙H/W 형태: 기존 온프레미스 환경과 동일

∙S/W 형태: 서버에 접근통제 솔루션을 설치하는 방식으로 여러 대를 설치해야 할 수

있음

∙API 형태: 기존의 네트워크 솔루션 기반의 접근통제 방식과는 다른 개념으로 성능 및

네트워크

네트워크와 무관하게 원하는 방식으로 그룹을 묶어서 접근통제 가능

②네트워크 트래픽 도청이나 데이터 유출 방지를 위해 통신 암호화를 적용하여 관리한다.

③사용자의 네트워크 접속･인증을 위한 신분확인 메커니즘을 도입한다.

④네트워크 가용성이 침해하는 서비스거부공격(DoS)에 대한 대책을 마련한다.

⑤이(異)기종 네트워크의 연동에 따른 보안대책을 고려한다.

⑥네트워크 장애에 대비하여 네트워크 분할 또는 이중화하여 관리한다.

⑦네트워크 장애에 대비하여 보안관제 체계 구축을 고려한다.

다.내부 시스템･단말기와의 연계

업무용 단말기 및 내부망 정보처리시스템을 클라우드서비스 제공자 구간에

위치한 내부망 정보처리시스템에 연결하거나, 관리용 단말기를 클라우드

서비스에 연결해야 하는 경우 다음 사항을 준수할 것

l 감독규정 시행세칙의 망분리 대체 정보보호통제 수칙

l 전용회선 또는 전용회선과 동등한 보안수준을 갖춘 가상의 전용회선

(VPN 등) 사용

32 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

업무용 단말기 및 내부망 정보처리시스템을 클라우드서비스 제공자 구간에

위치한 외부망 정보처리시스템에 연결해야 하는 경우 감독규정 시행세칙의

망분리 대체 정보보호통제 수칙을 준수할 것

단말기 및 정보처리시스템을 클라우드서비스 제공자 구간에 위치한 외부망

정보처리시스템에 연결해야 하는 경우 암호화된 통신채널을 사용할 것

<금융회사 내부 시스템 연계 시 보호대책 (예시)

※ 내부 시스템･단말기 연계 시 보호대책은 고유식별정보 및 개인신용정보 처리 여부와 무관하게

준수(개발망, SaaS 구축 등의 경우에도 동일 원칙 적용)

FINANCIAL SECURITY INSTITUTE

라.암호화 및 키 관리

고유식별정보, 개인신용정보 등 민감 데이터를 암호화하고, 암호화 키의

생성부터 폐기까지 전 단계 관리를 위한 세부 정책을 마련할 것

l 필요 시 HSM(Hardward Security Modules)을 이용하여 키 관리를

강화할 것

암호화 키는 접근이 통제된 보안네트워크*에 저장하고, 클라우드서비스

제공자의 직원이나 동일 클라우드서비스를 이용하는 외부 기관이 접근

할 수 없도록 할 것

* (예) 금융회사 내부 시스템, 클라우드서비스 제공자의 보안네트워크 서비스 등

<암호화 관련 참고 규정>

▶ 고유식별정보 암호화(개인정보보호법)

제24조(고유식별정보의 처리 제한)

③개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는

경우에는 그 고유식별정보가 분실･도난･유출･위조･변조 또는 훼손되지 아니하도록 대통령령으로

정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.

제24조의2(주민등록번호 처리의 제한)

②개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가

분실･도난･유출･위조･변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야

한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리

규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.

▶ 개인신용정보 암호화(신용정보의 이용 및 보호에 관한 법률)

제17조(수집･조사 및 처리의 위탁)

④신용정보회사등은 제2항에 따라 신용정보의 처리를 위탁하기 위하여

수탁자에게 개인신용정보를 제공하는 경우 특정 신용정보주체를 식별할 수 있는 정보는 대통령령으로

정하는 바에 따라 암호화 등의 보호 조치를 하여야 한다.

▶ 정보통신망 이용촉진 및 정보보호 등에 관한 법률

제28조(개인정보의 보호조치)

①정보통신서비스 클라우드서비스 제공자등이 개인정보를 처리할 때에는

개인정보의 분실･도난･유출･위조･변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여

대통령령으로 정하는 기준에 따라 다음 각 호의 기술적･관리적 조치를 하여야 한다.

4.개인정보를 안전하게 저장･전송할 수 있는 암호화기술 등을 이용한 보안조치

34 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

마.로깅

접근기록, 가동기록 및 보안로그 등을 기록･유지하여, 추후 사고 발생 시

조사(포렌식 조사 포함) 및 대응이 가능하도록 하고, 증거 수집 또는 획득

방법 등을 수립할 것

▶ 감독규정 제13조(전산자료 보호대책) 中

④제1항제11호의 정보처리시스템 가동기록의 경우 다음 각 호의 사항이 접속의 성공여부와 상관없이

1.자동으로 기록･유지되어야 한다.

1.정보처리시스템에 접속한 일시, 접속자 및 접근을 확인할 수 있는 접근기록,

2.전산자료를 사용한 일시, 사용자 및 자료의 내용을 확인할 수 있는 접근기록

3.정보처리시스템내 전산자료의 처리 내용을 확인할 수 있는 사용자 로그인, 액세스 로그 등 접근

기록

로그데이터를 위한 적절한 접근통제를 실시하고 관련 법령에 따라 암호화

등 적절한 보호조치를 취할 것

l 특히, 보안로그의 경우 독립적인 시스템에 보관하는 등 무결성 및 가용성이

보장될 수 있도록 관리할 것

FINANCIAL SECURITY INSTITUTE

바.가상 환경 보안

클라우드서비스 하드웨어, 가상 이미지, 가상화 관리 소프트웨어(하이퍼

바이저 등)에 대한 잠재적 위협을 고려하여 취약점 점검, 보안 모니터링

등을 실시할 것

가상 네트워크, 컨테이너 등 활용 시 표준 이미지, 개별 서비스별 보안

설정을 체계적으로 관리하고 모니터링 할 것

l 이 때, 가상 이미지 템플릿 등을 최신 상태로 유지하고, 현재 이미지

구성, 패치 상태, 이미지 무결성 등을 주기적으로 점검할 것

서버 및 가상화 보안 정보보호 요구사항(출처: KISA 클라우드 정보보호 안내서)

①바이러스, 웜, 트로이목마 등의 악성코드 예방을 위해 서버 및 가상환경을 보호하기 위한

공통 악성코드 탐지, 차단 등의 보안기술을 적용한다. 특히, 가상환경의 경우 이상 징후 발견 시

사용 중지 및 격리 조치를 수행할 수 있는 체계를 갖추고 운영한다.

①가상자원(가상 머신, 가상 스토리지, 가상 소프트웨어 등)의 생성, 변경, 회수 등에 대한

관리 방안을 수립한다.

②가상자원에 대한 무결성 보장하기 위한 보호조치 및 가상자원의 변경(수정, 이동, 삭제,

복사)에 대해 모니터링 한다.

③호스트 OS 및 하이퍼바이저를 모니터링 하고 악성코드 감염예방을 위해 주기적인 보안

가상화

패치를 시행한다.

보안

④가상화 실행 이력은 스냅샷 등 이미지 형태로 저장･관리하는 방안 등 안전한 저장 방법

으로 관리한다.

⑤가상화 OS의 내･외부 데이터 이용에 대한 로그 정보를 관리한다.

⑥가상머신별 자원 사용량 제한하여 특정 가상머신의 자원이 남용되지 않도록 한다.

⑦호스트와 가상영역 간의 경계를 명확히 구분하고 운영한다.

①클라우드서비스 운영 시 시스템에 대해 기술적 보호대책을 수립하고 적용한다.

∙웹서버, DB서버, 클라우드 인프라 관리서버 등 운영 시 다음의 보호대책 적용

- 송･수신 시 SSL/TLS 통신 적용, 불필요한 서비스 및 포트 차단

- 접근권한 설정, 백신설치 및 OS 최신 패치

- 불필요한 소프트웨어, 스크립트, 실행파일 등 설치 금지

- 불필요한 페이지(테스트페이지) 및 에러처리 미흡에 따른 시스템 정보 노출 방지

- 주기적인 보안패치 및 취약점 점검 실시 등

서버 보안

②공개서버는 내부 네트워크와 분리된 DMZ(Demilitarized Zone)영역에 설치하고 침입

차단시스템 등 보안시스템을 통해 보호한다.

※ 보안솔루션 구축 시 고려사항

기존 IT환경에서는 일반적으로 H/W 형태 보안솔루션(Firewall, IPS, IDS, Web

Application firewall 등)을 구축하지만, 가상환경에서는 유연한 확장성을 고려하여

S/W 방식으로 구축하는 것이 일반적이다. 따라서 확장성이 반드시 보장되어야 한다면

호스트 기반의 보안솔루션을 설치하는 것이 적합한 방법이다.

36 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

사.보안 모니터링 및 취약점 분석･평가

중요 로그를 실시간으로 모니터링하고 주기적으로 분석할 것

침입 탐지/방지 시스템, 웹 방화벽, DDoS 대응 장비 등 보안 시스템을

적절한 위치에 배치하여 공격을 탐지･대응할 것

연 1회 이상(홈페이지는 6개월에 1회 이상) 실시하는 취약점 분석･평가

수행 시 클라우드서비스를 이용하는 전자금융기반 시스템을 포함하여야

하며, 필요 시 클라우드서비스 제공자에 협조를 요청할 것

l 이 때, 일반 취약점뿐만 아니라 클라우드 컴퓨팅 고유의 위협을 고려하여

수행할 것

▶ 감독규정 제37조의2(전자금융기반시설의 취약점 분석･평가 주기, 내용 등)

①∼

⑤(생략)

⑥금융회사 또는 전자금융업자는 제1항 또는 제3항에 따른 의무의 이행을 위하여 전자금융보조업자에게

협조를 요청할 수 있다.

아.인적 보안

금융회사 내 클라우드서비스 이용자 및 관리자를 대상으로 주기적인 클라

우드서비스 보안 교육을 실시하고, 클라우드서비스 제공자의 직원 보안 교육

계획 및 결과(대상 직원 수, 이수 시간 등) 등을 공유 받아 검토할 것

주요국 금융권 지침 내 보안조치 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.5 데이터 및 시스템 보안

15) CEBS 가이드라인 8(2)(e)에 명시된 바와 같이, 위탁 계약은 위탁 서비스 제공 업체가 금융회사가

전송하는 정보의 기밀성을 보호하도록 의무화 해야 한다. 금융회사는 CEBS 가이드라인 6(6)(e) 지침에

따라 위탁 서비스 제공 업체가 제공하는 서비스의 연속성을 보장하기 위한 조치를 취해야한다.

CEBS 가이드라인 8(2)(b) 및 지침을 바탕으로 품질 및 성과와 관련된 금융회사의 각 요구는 서면

위탁 계약 및 서비스 수준 계약에 반영되어야 한다. 이러한 보안 측면 또한 지속적으로 모니터링 되어야

한다(가이드라인 7).

16) 앞 단락의 목적 상, 금융회사는 위탁하기 전에 관련 결정을 알리기 한 목적으로 최소한 다음을 수행

해야한다.

FINANCIAL SECURITY INSTITUTE

(a) 민감도와 보호 필요성에 따라 프로세스 및 관련 데이터와 시스템을 식별 및 분류

(b) 위험기반 평가를 통해 클라우드 제공자에게 위탁하려는 업무, 프로세스 및 관련 데이터와 시스템

선정

데이터 등에 대해 암호화 조치 등을 고려

17) 그 결과, 금융회사는 클라우드 서비스 제공 업체와 서면으로 계약을 맺도록 해야 하며, 무엇보다도

제16조 (c)항에 의거한 클라우드 업체의 의무가 명시되어있다.

18) 금융회사는 CEBS 가이드라인의 가이드라인 7에 따라 활동 및 보안 조치의 성과를 지속적으로 모니터링

하고 업무 위탁이 이전 문단을 준수하는지 여부를 적절하게 검토해야 한다. 금융회사는 신속하게 필요한

시정 조치를 취해야 한다.

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 5. 정보 보안

다른 형태의 아웃소싱과 마찬가지로, 클라우드 컴퓨팅 모델에서 정보 보안은 주요 고려 대상이다. 금융

기관은 클라우드 컴퓨팅 서비스 제공 업체와 관련 업무를 통합하기 위해 정보 보안 정책, 표준 및 관행을

수정해야 할 수도 있다. 위험도가 높은 상황에서는 금융 기관이 서비스 제공 업체가 효과적인 통제를 유지

하고 있다고 충분히 확신할 수 있도록 지속적인 모니터링이 필요할 수 있다.

금융 기관이 효과적인 ID 및 액세스 관리를 통해 포괄적인 데이터 목록 및 적절한 데이터 분류 프로세스를

유지하고 고객 데이터에 대한 액세스를 적절하게 제한하는 것이 중요하다. 여러 클라이언트가 네트워크

리소스를 공유하는 멀티 테넌트(multi-tenant) 클라우드 배치는 암호화와 테넌트의 접근을 각자의 데이터

로만 제한하기 위해 적절히 통제 한다는 추가적인 보장을 통해 데이터 보호의 필요성을 높인다. 데이터

처리 절차, 백업 데이터의 적합성 및 가용성, 여러 서비스 제공 업체가 시설을 공유하고 있는지 여부를 확인

하는 것이 주요 고려 사항이다. 금융 기관이 데이터가 만족스럽게 보호되고 데이터에 대한 액세스가 적절히

통제되고 있다고 확신하지 못하는 경우, 서비스 업체와 제3자 관계를 체결하는 것이 바람직하지 않을 수 있다.

클라우드에 데이터를 저장하면 보안 사고의 빈도와 복잡성이 높아질 수 있다. 따라서 금융 기관의 관리

프로세스는 금융 기관 및 서비스 제공 업체의 네트워크에 대한 보안 관련 위협, 사건 및 사건에 대한 효과

적인 모니터링 방안; 포괄적인 사고 대응 방법론; 조사 및 증거 수집을 위한 적절한 포렌식 전략의 유지

방안을 포함해야한다.

서비스 계약 체결 시 데이터가 서비스 제공 업체의 저장 매체에서 완전히 제거되거나 삭제되지 않을 가능성은

전통적인 형태의 아웃소싱보다 클라우드 컴퓨팅 환경에서 더 큰 위험을 초래할 수 있다. 타사 관계를 시작

하기 전에 클라우드 컴퓨팅 서비스 공급자가 NPPI가 저장된 모든 위치에서 NPPI를 제거 할 수 있도록

하는 것이 좋다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항> 中

[위험관리]

위탁 관련 규칙 및 지침의 기본 원칙은 기업이 위탁 계약으로 인해 발생한 위험을 식별하고 관리한다는

것이다. 따라서 기업은 다음을 수행해야한다.

∙관련 위험을 식별하고 위험을 완화하기 위한 단계를 식별하기 위해 위험 평가를 시행해야 한다.

∙위험 평가를 문서화해야 한다.

∙데이터 및 정보 보안 관리 시스템 요구 사항, 사이버 위험 및 관련 규제 기관의 규칙과 지침을 포함하여

현재 업계의 우수 사례를 파악하여 의사 결정 시 참고한다.

∙서비스를 제공하거나 이용하는 데 관련된 고객, 기업 및 직원이 서로 다른 위치 또는 관할 구역

(예: UK, EEA 또는 비 EEA)에 있는 경우, 법 및 규제 관련 위험이 다른지 검토해야 한다.

38 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

∙기업이 책임지는 규제 서비스와 관련된 전반적인 운영 위험을 평가하고 이를 관리하도록 책임을 할당해야 한다.

∙집중 위험(concentration risk)을 모니터링하고 위탁 제공자가 실패할 경우 취할 조치를 고려해야 한다.

∙사업 복구 계획 발의안을 포함하여 발생하는 모든 위반 사항 또는 기타 관련 사건에 대해 신속하고 상세한

통지를 요구해야 한다.

∙계약서가 위반 사례 및 기타 유해 사례를 개선할 수 있는지 확인해야 한다.

[데이터 보안]

기업은 서비스 제공자와 기업이 관리하는 기술 자산을 포함한 보안 위험 평가를 수행해야한다. 기업은 다음을

수행해야한다.

∙서비스 제공자와의 관계를 체결하면 기업의 데이터를 저장, 처리 및 관리 할 수 있는 관할권을 설정하는

데이터 레지던시 정책에 동의해야 한다. 이 정책은 주기적으로 검토해야 한다.

∙서비스 제공자의 데이터 손실 및 침해 통지 프로세스를 이해하고 기업의 위험 수용범위 및 법적 또는

규제적 의무 사항과 부합하는지 확인해야 한다.

∙데이터를 어떻게 분리할 지 고려해야 한다(퍼블릭 클라우드를 사용하는 경우).

∙보안 위험을 완화하기 위한 적절한 조치를 취하여 기업의 전반적인 보안 문제를 수용할 수 있도록 해야 한다.

∙데이터 민감도 및 데이터 전송, 저장 및 암호화 방법을 고려해야 한다.

[변경 관리]

프로세스와 절차가 변경되면 위험이 발생할 수 있다. 우리는 기업이 포괄적인 변경 관리 프로세스를 수행

할 것으로 기대하지만, 다음 사항에 특히 유의해야한다.

∙기술 서비스 제공의 변화를 위한 조항 마련

∙변경 사항에 대한 테스트 수행 방법을 수립

3.(싱가포르-ABS) 클라우드 컴퓨팅 구현 가이드 – Section 4. 클라우드 위탁 시 주요 통제 권고 사항

1) 암호화

∙데이터 백업을 포함하여 모든 민감한 데이터는 저장 및 처리 상태 모두에서 적절한 암호화 제어를

받을 것

∙암호화 알고리즘, 해당 키 길이, 데이터 흐름 및 처리 논리에 대한 세부 사항은 전문가 검토를 통해

잠재적인 약점 및 노출 지점을 식별할 것

∙암호화 키의 생성, 저장, 사용, 폐기, 만료, 갱신, 보관에서 암호화 키의 수명주기를 관리하기 위한

세부 정책 및 절차를 마련할 것

∙보안 키가 HSM (Hardware Security Module) 내에서 안전하게 생성되고 관리되도록 하려면 암호화

키에 대해 엄격한 제어를 수행할 것

∙암호화 키와 HSM의 위치, 소유권 및 관리에 대한 세부 사항은 금융회사와 CSP간에 합의할 것. 금융

회사는 암호 키와 HSM를 직접 관리할 필요성과 역량을 검토할 것.

∙HSM 및 기타 암호화 자료는 접근이 철저히 통제된 분리된 보안네트워크에 저장하고, CSP의 다른

고객이 사용하는 서브넷이나 직원 접근 구간에서 접근이 불가하도록 할 것

∙CDN (Content Delivery Network)을 사용하는 경우 암호화 키 및 인증서 관리를 위한 적절한 제어가

있는지 확인할 것. 견고한 조직 신원 통제를 위해 EV(Extended Validation) 또는 OV(Organisation

Validation) 인증서를 사용하는 것이 좋음. 안전한 인증서 관리 프로토콜도 고려되어야 함

∙금융회사에 속한 암호화 키 및 SSL 개인키 컨테이너를 CSP 환경에 도입해야하는 경우 적합한

키 의식(key ceremonies)을 포함하여 신중하게 설계된 프로세스를 마련해야함

∙금융회사 데이터의 암호화에 사용되는 암호화 키는 고유해야하며 클라우드 서비스의 다른 사용자와

FINANCIAL SECURITY INSTITUTE

공유하지 않아야 함

∙암호화 요구 사항에 대한 기타 지침은 MAS 기술 위험 관리 지침(MAS Technology Risk Management

Guidelines)에서 가져올 것

2) 토큰화

∙토큰화 솔루션에 대해 신중한 위험 평가(risk assessment and evaluation)를 수행하여 고유한 특성을

식별하고, 민감데이터에 대한 모든 상호작용 및 접근을 식별해야함

∙CSP는 토큰을 원래 데이터 값으로 복원할 수 있는 어떠한 수단도 없어야 함(토큰화 시스템 또는 토큰화

로직에 대한 접근이나 통제 수단 등)

∙토큰화를 수행하는 시스템은 금융회사가 직접 관리해야함

3) 전용 장비 또는 프라이빗 클라우드 : 특별히 민감한 자원이 사용되는 경우, 금융회사는 전용 장비 또는

프라이빗 클라우드를 고려할 수 있음. 이 경우 위치 및 데이터 제어 환경을 단순화할 수 있음

∙프라이빗 클라우드 구조를 계획할 때, CSP의 관리적･물리적 접근을 포함한 환경에 대한 모든 접근을

고려할 것

∙프라이빗 클라우드 구조를 계획할 때, CSP는 전용 하드웨어 및 위치를 계약을 통해 보장할 것

∙시스템 및 데이터의 백업 위치를 검토할 것. 모든 민감한 금융회사 데이터의 위치에 대해 데이터

레지던시(data residency) 요구사항을 고려할 것

∙보안 모니터링 제어가 환경의 격리를 보장하는지 확인할 것

∙송수신(ingress & egress) 트래픽 방화벽 규칙이 효과적인지 확인할 것

∙자산이 효과적으로 관리되고, 시스템이 노후화되지 않았는지 확인할 것

4) 변경 관리 및 특권 사용자 접근 관리(PUAM)

∙변경 관리 절차는 CSP와 금융회사 간에 상호 합의할 것. 이러한 절차에는 변경 요청 및 승인 절차,

보고 구성 요소 등을 포함하고, 공식화할 것

∙변경 관리 거버넌스는 일반 서비스 수준 관리 회의에 통합되도록 할 것

∙변경 관리의 역할, 책임 등 긴급 및 표준 변경 절차를 합의할 것

∙특권 사용자(users with privileged system access)는 명확하게 정의하고, 주기적인 사용자 접근

기록 검토를 받을 것(월 1회 권장)

∙특권 사용자 접근은 명확하게 추적되고 보고되도록 하고, 변경 요청 동의/승인에 연동되어야 함.

CSP가 변경요청 기록을 금융회사에 공개할 필요는 없음.

∙모든 특권 사용자 접근은 모니터링하고, 주기적으로 동료 검토(peer review)를 받을 것. 이 검토

주기는 클라우드 내 자산의 중요도에 비례하게 설정.

∙특권 사용자 관리 기능 업무는 별도로 분장하여, 다른 사용자 관리 기능과 분리할 것

5) 가상 환경 보안 : HW, OS 이미지, 가상화 관리 SW(하이퍼바이저 등)에 대한 잠재적 위협을 고려할 것

∙가상 이미지 침투 테스트 실시

∙가상 이미지에 무결성 보장을 위한 제어 실시

∙관리 인터페이스는 운영 서브넷에서 접근할 수 없는 분리된 관리 네트워크에 위치할 것

∙암호화가 사용되는 경우, 암호화 키는 가상 이미지 및 정보 자산과 별도로 저장할 것

∙공격을 탐지하고 조기 경보를 제공하기 위해 보안 모니터링을 실시할 것

6) 사용자 접근 관리 및 의무 분리

∙식별 및 접근관리는 클라우드 아웃소싱 계약 수행 시 가장 중요한 고려사항이며, 기술 및 비즈니스

사용자 접근 관리를 모두 포함할 것. 책임 보장을 위한 명확한 사업주가 식별되어야하고, 정의된 각

역할의 소유권을 보장해야함

∙일관성을 유지하기 위해 금융회사의 식별 및 접근 관리 정책 및 표준은 CSP 내 해당 금융회사가

40 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

사용하는 모든 환경에서 적용되어야 함

∙최종사용자(특히 기업 사용자의 경우)는 액티브 디렉터리 자격 증명 절차를 사용하여 금융회사의 기존

프로세스 및 인프라를 활용할 수 있음

∙사용자 접근 관리는 업무분장 및 수행자/승인자(maker/checker) 통제를 확실히 할 것. 특히 CSP가

접근 권한이 있거나, 시스템 및 SW를 관리하는 경우 더욱 철저히 할 것. 역할 접근 권한의 변경 내역은

독립적인 감사 담당자가 정기적으로 검토할 것

∙CSP가 금융회사의 시스템이나 SW에 접근할 수 있는 경우, 식별 및 접근 관리 문서에 기록해야하며,

요구사항의 정확도와 문서상의 설정이 시스템 상태와 일치하는지를 연1회 이상 검토할 것.

∙서비스, 일반 및 관리자 계정의 접근 및 사용은 적절한 특권 사용자 접근 관리 제어 및 활동을 통해

관리하고, 모든 활동은 추후 검토를 위해 기록할 것

∙클라우드에 개발, 품질보증 및 생산 환경이 있는 경우, 접근을 엄격하게 통제할 것. 개발자 및 테스터는

생산 환경에 쓰기 권한이 없어야하고, 생산 지원자는 책임 영역에 따라 읽기 접근을 제한할 것

7) 합동 재해복구 훈련

∙CSP는 재난 복구 및 비즈니스 연속성 계획을 개발하고 계획을 금융회사와 공유할 것

∙CSP는 필요한 인증(예: ISO27001, ISO27018)을 획득해야하며 해당 프로세스는 독립적인 제3자가

감사하고, 금융회사가 이 감사 보고서를 확인할 수 있을 것

∙CSP와 금융회사 직원을 모두 포괄하는 통신 계획 또는 자동 전화 구조(automated call tree)를

만들 것

∙금융회사의 위기 관리 팀이 CSP의 복구 계획을 완전히 알고 있는지 확인할 것

∙CSP와 DR 테스트를 수행 할 때, 실제 재해 이벤트에 대한 준비 수준을 확인하기 위해 현장 점검

또는 직전에 통지한 훈련을 수행할 것

∙테스트 중 명시된 결함을 기록하고 서비스 관리 회의를 통해 시정 조치를 모니터링할 것

8) 보안 모니터링 및 사고 관리

∙클라우드 서비스의 보안 및 안정성에 영향을 줄 수 있는 활동을 분석하기 위해 네트워크, 시스템 및

응용 프로그램 수준에서 적절한 탐지 메커니즘을 마련할 것

∙다양한 모니터링 시스템에서 보안 로그의 자동 분석, 상관관계 및 분류를 제공하기 위해 SIEM 시스템과

같은 적절한 모니터링 인프라가 있어야 함

∙가능한 경우 CSP의 SIEM 아키텍처의 데이터를 금융회사의 핵심 침입 탐지 기능에 활용하는 방법도

고려할 수 있음

∙로그의 무결성 및 가용성이 유지되도록 로그를 독립적인 시스템에 보관하는 등 안전하고 강력한 보안

로깅 인프라를 마련할 것

∙네트워크 침입 탐지/방지 시스템(NIDPS), 웹 방화벽(WAF), DDoS 장비 및 데이터 유출 방지 시스템과

같은 적절한 보안 시스템 및 조치를 전략적 위치에 배치하여 보안 침해 및 지속적인 공격을 탐지하고

완화할 것

∙아웃소싱 계약의 중요도에 따라, 보안이벤트의 능동적인 모니터링과, 보안 사고에 대한 시기적절한

대응을 위해 24x7 기반으로 운영되는 보안 운영 센터(Security Operations Center, SOC)를 강력

하게 권장할 것

∙컴퓨터사고대응팀(CERT) 또는 보안사고대응팀(SIRT)을 구성하여 보안 사고에 대해 적시 대응할 것.

CSP와 금융회사 팀 간의 역할 분담 및 조정을 공식화할 것

∙보안 사고의 정의와 심각도에 대한 수준을 금융회사와 CSP 간에 적절히 정의하고 합의할 것

∙보안 사고의 보고 레벨, 통보, 봉쇄 및 종결을 위한 기준 및 성능 요구 사항(SLA)을 금융회사와

CSP간에 적절히 정의하고 합의할 것

FINANCIAL SECURITY INSTITUTE

∙보안 사고 대응 계획 검토 및 테스트는 CSP에 의해 정기적으로 수행되어야하며 적절한 경우 금융

회사를 참여시킬 것

∙보안 사고 및 근본 원인 분석 관련 보고서 접근 권한에 대해 금융회사와 CSP 간에 합의할 것. 상업,

보안 또는 지적재산권을 이유로 CSP가 해당 보고서를 금융회사에 공개하지 않을 경우, 상호 수용할

수 있는 제3자가 접근하도록 합의할 수 있음

9) 침투테스트 및 취약점 관리 : 외부 서비스 애플리케이션을 운영 또는 고객 정보를 처리하는 경우 주기

적인 취약점 점검 및 침투테스트 필요

∙CSP 침투테스트 보고서는 기본 시스템의 보안에 대한 확신을 얻는 데 사용할 수 있음. 다만, 침투

테스트 범위에 서비스 제공 관련 모든 시스템을 포함하고 있는지 확인할 것

∙테스트 시 하이퍼바이저 점핑(hypervisor jumping), 취약한 API와 같이 클라우드 컴퓨팅 고유 위협을

고려할 것

∙테스트 수행자는 클라우드 환경 및 가상화에 특화된 보안 이슈를 인식하여 이러한 환경에서 발생할

수 있는 문제의 유형을 파악할 것

∙금융회사는 테스트의 기술적 한계를 확인하기 위해 취약점 점검 및 침투테스트 실시 전에 CSP와

협의할 것

∙모든 취약점에 대해 위험을 평가하고, 추적 및 적절히 관리/조치 할 것

∙식별된 취약점의 조치에 CSP가 책임이 있는 경우 이는 계약서에서 합의된 SLA/기한 내에 조치할 것

10) 관리용 원격 접근 : 원격 접근(CSP의 시스템 관리를 위한 원격 접근, 금융회사의 클라우드 환경 플랫폼

및 시스템에 대한 원격 접근)은 리스크를 유발하므로 엄격하게 관리해야 함

∙모든 시스템 원격 접근 절차(보안 통제 관리 절차 포함)에 대한 자세한 문서를 제작할 것. 정확성과

최신성을 보장하기 위해 이 문서를 정기적으로 검토할 것

∙클라우드 컴퓨팅 인프라에 대한 모든 인터페이스를 가능한 한 일관성 있게 유지하여 원격 접근 통제가

균일하게 적용되도록 할 것.

∙이러한 인터페이스는 별도의 분리된 데이터 흐름을 제공하여 안전하고 감사 가능한 시스템 및 데이터

접근 방법을 보장할 것

∙투팩터 인증, VPN 암호와와 같은 원격 접근 보안 수단을 구현할 것

∙가능한 경우, 원격 접근 네트워크 트래픽은 정의된 출발지와 목적지를 갖고 있을 것.

∙최종 사용자 컴퓨팅 장치 제어 실시(예: 기계 인식을 이용한 하드웨어를 통한 인증, 가상 데스크톱

인터페이스를 이용하여 악성코드 및 무권한 접속 위험 감소 등)

∙특권 사용자의 원격 접근은 승인된 예외 또는 긴급상황(break glass procedures)에서만 허용되어야

하며 시간 제한을 둘 것. 특권 사용자의 원격 접속은 본질적으로 위험하므로 엄격하게 제어할 것

∙모든 특권 사용자의 원격 접근은 독립된 자격있는 직원이 적합성을 검토해야함

11) 안전한 SW 개발 라이프사이클(SDLC) 및 코드 리뷰 : 온프레미스 환경과는 다르게 개발 라이프사이클이

관리되어야함. 데이터의 안전한 소거 및 환경 정리가 반드시 고려되어야 함

∙콘텐츠 버전 관리 및 한 환경에서 다른 환경으로의 소스코드 마이그레이션을 위한 엄격한 프로세스

관리 절차를 명확하게 정의하고, 릴리즈 관리 프로세스의 일부로 관리할 것

∙코드 배치를 위한 업무 분장을 명확히 할 것

∙소스 코드 저장소에 대한 접근과 개발 및 테스트 환경에 대한 특권 접근은 일부 승인된 직원 개인으로

제한할 것

∙암호화되지 않은 실 업무 데이터는 클라우드 환경에서 테스트용으로 사용 금지. 테스트 데이터는

CSP 환경으로 전송되기 전에 비식별화할 것

∙환경에 대한 운영 체제 이미지는 엄격하게 통제할 것

42 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

∙소스 코드가 중요한 목적으로 사용되는 경우, 위험도 평가를 수행하여 필요한 경우 금융회사 자체

네트워크에서 바이너리를 컴파일한 후 바이너리를 클라우드에 복사하여 사용할 것

12) 로그 및 백업 보안

∙금융회사는 CSP와 협력하여 서비스의 로깅 기능을 이해하여 “원치 않은” 데이터 로깅이 없음을 확인할 것

∙포렌식에 적합한 로그 데이터 획득 방법 등을 포함한 포렌식 조사 요구사항을 수립할 것

∙백업 및 로그 데이터를 위한 적절한 접근 통제를 실시할 것

∙금융회사는 백업할 내용을 선정하고, 적절한 경우 민감한 데이터를 암호화할 것

∙금융회사는 백업 목적으로 사용 된 암호화 키를 충실히 관리할 것

∙데이터 복원 기능을 정기적으로 테스트하고, 이러한 테스트는 데이터 유출 위험을 최소화하기 위해

안전하게 수행할 것

[서비스 시나리오별 클라우드 보안 지침]

침투 안전한

암호화 변경 UAM 및 합동 보안 관리용 로그 및

전용 가상환경 테스트/ SDLC

시나리오 및 관리 및 업무 재해 복구 모니터링/ 원격 백업

장비 보안 취약점 및 코드

토큰화 PUAM 분장 훈련 사고관리 접근 보안

분석 리뷰

인터넷 뱅킹/

◎ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

지급 포털

CRM ◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

사기 방지

◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

서비스

HR 포털 ◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

데이터룸 ◎ △ ◎ ◎ ◎ △ ◎ ◎ ◎ ○ ○

서비스 관리 ◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ○

마이크로사이트 △ △ ◎ ◎ ◎ △ ◎ ◎ ◎ ○ ○

설문 △ △ ◎ ◎ ◎ △ ◎ ◎ ◎ ○ △

데이터 분석 ◎ △ ◎ ◎ ◎ ○ ◎ ◎ ◎ ○ ○

이메일

◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

보안 제품

보안 운영

◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

센터(SOC)

인증 서비스 ◎ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ ○ ◎

테스팅 △ △ △ ○ ◎ △ ○ ◎ ◎ △ ○

개발 운영 △ △ △ ○ ◎ △ ○ ◎ ◎ △ ○

컨텐츠전달

네트워크 △ △ ◎ ◎ ◎ ◎ ◎ ◎ ◎ △ ○

(CDN)

* ◎: 강력 권고, ○: 권고, △: 금융회사 재량

FINANCIAL SECURITY INSTITUTE

4 업무 위수탁 운영기준 마련

금융회사는 클라우드서비스 이용 시 자체 업무 위수탁 운영기준을 마련하고 준수

해야한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

①금융회사 또는 전자금융업자는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

3.<별표 2의3>에서 정하는 사항을 반영한 자체 업무 위수탁 운영기준의 마련 및 준수

금융회사는 업무 중요도 평가 결과 중요도가 높은 업무를 위탁하는 경우

관련 규정*에 따라 기 수립･운영 중인 자체 업무 위수탁 운영기준에 <감독규정

[별표 2의3]> 업무위탁 운영기준 보완사항을 반영하고 이를 준수해야 한다. 또한,

중요도가 낮은 업무를 위탁하는 경우 금융회사 필요에 따라 자체적으로 판단

하여 반영한다.

* ｢자본시장법｣ 제42조제7항 또는 ｢금융기관의 업무위탁 등에 관한 규정｣ 제3조의2

<감독규정 [별표 2의3]>

업무위탁 운영기준 보완사항

금융회사 및 전자금융업자가 클라우드컴퓨팅서비스 제공자에게 규정 제14조의2 제3항 각호에 해당하는

정보처리 업무의 위탁을 추진하는 경우 ｢자본시장과 금융투자업에 관한 법률｣ 제42조제7항에 따른 업무

위탁 운영기준 또는 ｢금융기관의 업무위탁 등에 관한 규정｣ 제3조의2에 따른 자체 업무위수탁 운영

기준에 다음 각 호의 사항을 반영하고 이를 준수하여야 한다.

1.위수탁계약의 결정･해지 절차 및 재위탁에 관한 사항

∙위탁업무에 대한 자체 중요도 평가 실시에 관한 사항

∙재위탁 및 재위탁의 변경 시 동의에 관한 사항

∙위수탁 계약 및 재위탁 관련 중요 변경사항 통보에 관한 사항

2.위탁업무의 모니터링에 관한 사항

∙정보처리의 물리적 위치에 관한 사항

44 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

∙클라우드서비스 제공자의 보안관리 수준 등에 관한 사항

∙유･무형의 위탁업무 처리에 관한 최신 정보 등록･관리, 위탁업무의 품질 또는 서비스수준 등에 관한 사항

3.비상대책 등에 관한 사항

∙합병･분할, 계약상 지위의 양도, 재위탁 등 중요 상황 발생시 대책(업무 연속성 계획 포함)에 관한 사항

∙위탁업무를 다른 수탁자 또는 클라우드컴퓨팅 업무를 위탁한 금융회사 및 전자금융업자에 이전

시키는 경우 업무 장애･서비스지연, 이전을 지원할 의무 등 전환계획에 관한 사항

∙위탁계약의 종료, 중단, 변경 시 데이터 반환･파기에 관한 사항

4.위탁업무 관련 조사･접근권 확보에 관한 사항

∙감독당국 또는 내외부 감사인의 조사･접근권(현장방문 포함) 확보에 관한 사항

5.위수탁 계약서 주요 기재사항

∙클라우드컴퓨팅서비스가 제공되는 물리적 위치

∙재위탁 또는 재위탁의 변경 등 금융회사 또는 전자금융업자의 동의가 필요한 사항

∙위탁하는 업무, 데이터에 관한 사항

∙위수탁 계약 및 재위탁 관련 중요 변경사항이 있는 경우 등 금융회사 또는 전자금융업자에 대한

통보가 필요한 사항

∙감독당국 또는 내외부 감사인의 조사･접근(현장방문 포함) 수용 의무

∙계약의 파기 또는 종료, 기타 위탁업무의 원활한 이행이 어려운 경우 해당 위탁업무의 이전 및

반환 등에 관한 사항

∙위탁 및 위탁업무 관련 준거법 준수의무 및 자율규제에 대한 협조

∙비상대응훈련(재해복구전환훈련 포함), 취약점 분석･평가, 침해사고대응훈련 등의 협조에 관한 사항

∙위탁업무 모니터링 지원에 관한 사항

∙전송 정보에 대한 정보보호 의무 및 서비스 연속성 보장 등의 보안 요구사항

∙재위탁 관련 클라우드서비스 제공자의 관리･감독 의무에 관한 사항

∙재위탁 또는 재위탁 변경에 따른 보안리스크 증가 등 서비스에 악영향을 미칠 수 있는 경우 원위탁자의

계약해지 권한 보유에 관한 사항

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

계약 준비

1.클라우드서비스 제공자 평가

2.정보보호위원회 심의･의결

FINANCIAL SECURITY INSTITUTE

제 장 계약 준비

1 클라우드서비스 제공자 평가

｢[부록] 금융분야 클라우드컴퓨팅서비스 제공기준｣에 따라 클라우드서비스

제공자를 평가하고, 그 결과에 따라 계약 추진 및 이용 여부를 최종 결정

하여야한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

①금융회사 또는 전자금융업자는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

2.<별표 2의2>의 항목을 포함한 클라우드컴퓨팅서비스 제공자의 건전성 및 안전성 등 평가

또한, 고유식별정보 또는 개인신용정보를 처리하는 업무의 경우, 해당

정보를 처리하는 모든 시스템(해당 정보가 일시적으로 처리되는 시스템

포함*)을 국내에 설치하여야 하고,

* 해당 정보가 처리되는 경우 관리시스템도 포함됨

l 해당 전산실 내에 무선통신망이 설치되어있지 않아야 한다는 점을 고려

하여 제공자를 선정한다.

48 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

※ 정보처리시스템 국내 설치 예외

- 개정된 감독규정 시행(’19.1.1.) 이전에 ｢금융회사의 정보처리 업무 위탁에 관한 규정｣에

따라 정보처리 업무를 국외 소재 전산센터에 위탁하여 클라우드서비스를 이용하고 있는

경우 예외(감독규정 부칙 제2조)

- 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치지 않는 외국금융회사의 국내지점,

감독규정 제50조의2에 따른 국외 사이버몰을 위한 전자지급결제대행업자(국내 설치 요건

및 무선통신망 설치 금지 예외)

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등)

⑧제2항의 절차를 거친 클라우드컴퓨팅서비스 제공자의 정보처리시스템이 위치한 전산실에 대해서는

제11조제11호 및 제12호, 제15조제1항제5호를 적용하지 아니한다. 다만, 금융회사 또는 전자금융업자

(전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치지 않는 외국금융회사의 국내지점, 제50조의2에

따른 국외 사이버몰을 위한 전자지급결제대행업자는 제외한다)가 제3항제1호에 따른 고유식별정보 또는

개인신용정보를 클라우드컴퓨팅서비스를 통하여 처리하는 경우에는 제11조제12호를 적용하고, 해당

정보처리시스템을 국내에 설치하여야 한다.

주요국 금융권 지침 내 제공자 평가 관련 부분

1.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 2. 상당한 주의(Due Diligence)

금융 기관이 전략 계획을 달성하기 위해 제3자를 사용한다고 해서 제3자 활동이 안전하고 건전한방식으로,

그리고 관련 법률 및 규정을 준수하여 수행되는지 확인하는 이사회 및 경영진의 책임이 줄어들지 않는다.

클라우드 서비스 공급자에게 아웃소싱하는 것은 비용 절감, 유연성, 확장성, 향상된 부하 균형 조정 및 속도와

같은 잠재적인 이점 때문에 금융 기관에 유리할 수 있다. 중요한 기능의 위탁을 승인하기 전에, 이러한 조치가

이사회 및 고위 경영진이 승인한 해당 기관의 전략 계획 및 회사 목표와 일치하는지 확인하는 것이 중요

하다.

Outsourcing Booklet에 자세히 나와 있듯이 제공자가 비용, 서비스 품질, 규제 요구 사항 준수 및 위험

관리 측면에서 기관의 요구 사항을 충족하는지 확인하기 위해 실사 검토가 수행된다. 클라우드 컴퓨팅과

관련된 잠재적인 문제는 다음과 같다.

∙데이터 분류(Data classification)

- 클라우드에 배치 될 데이터 (예: 기밀, 중요, 공개)의 민감도

- 적절히 보호되고 있음을 보장하기 위해 어떤 통제를 사용해야 하는가

- 클라우드 서비스 제공 업체가 비공개 개인 정보(NPPI) 및 기관이나 고객에게 해를 끼칠 수 있는 기타

데이터를 적절하게 암호화하거나 보호하는가

∙데이터 분리(Data segregation)

- 금융 기관의 데이터가 다른 클라우드 클라이언트의 데이터와 리소스를 공유하는가.

예를 들어 데이터가 동일한 네트워크를 통해 전송되고 다른 클라이언트에서도 사용되는 서버에 저장

및 처리되는가

FINANCIAL SECURITY INSTITUTE

- 그러하다면 서비스 제공 업체는 금융 기관의 데이터의 무결성과 기밀성을 보장하기 위해 어떤 통제를

해야하는가

∙복구 가능성(Recoverability)

- 서비스 제공 업체는 재해에 어떻게 대응하고 지속적인 서비스를 보장하는가

- 금융 기관의 재해 복구 및 비즈니스 연속성 계획에는 이러한 형태의 아웃소싱, 서비스 제공 업체의

재해 복구 및 비즈니스 연속성 계획, 필수적인 커뮤니케이션 링크의 가용성에 대한 적절한 고려가

포함되어 있는가

2.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항> 中

[서비스 제공자 감독]

기업은 규제 체제 하에서 모든 의무를 완수할 책임이 있으며, 책임을 서비스 제공자에게 위임할 수는 없다.

기업은 다음 사항을 고차원적으로 수행해야한다.

∙제공받는 서비스를 명확히 밝히고, 기업과 서비스 제공자(들) 간의 책임과 의무가 어디서 시작되고 끝나는지

명확히 밝혀야 한다.

∙서비스 제공자의 일상적인 관리와 전략적 관리에 대한 책임을 할당해야 한다.

∙직원이 위탁 업무를 감독하고 테스트할 수 있고 발생하는 위험을 식별, 모니터링 및 완화할 수 있으며

기존 제3자 제공자의 해약 또는 이전을 적절하게 관리하기 위해, 충분한 기술과 자원을 갖추고 있는지

확인해야 한다.

∙분쟁 해결을 위한 적절한 조치가 존재하는지 확인해야 한다.

3.(싱가포르-MAS) 아웃소싱 가이드라인 – 5.4 서비스 제공업체 평가

5.4.1 아웃소싱 계약을 재협상 또는 갱신하기 위해 고려 중일 때 기관은 서비스 제공업체를 대상으로 적절한

실사를 실시하여 아웃소싱 계약과 관련된 리스크를 평가해야 한다.

5.4.2 기관은 서비스 제공업체의 모든 관련 측면을 평가해야 한다. 예를 들어 아웃소싱 계약을 이행할 때

해당 서비스를 기관에서 직접 수행하는 것과 같이 높은 관리 수준을 적용하여 규제 대상 기관으로서의

의무에 부합할 수 있는 역량의 보유 여부 등이 대표적이다. 실사를 할 때에는 서비스 제공업체가 갖추고

있는 물리적, IT 보안 관리 실태, 서비스 제공업체의 업계 평판 및 재무 안정성(서비스 제공업체의

윤리적, 전문적 표준 포함) 및 아웃소싱 계약에 따라 부과되는 의무를 이행할 수 있는 능력 등도 감안

해야 한다. 서비스 제공업체 현장 방문 및 서비스 제공업체에 대한 독립적인 검토 및 시장 피드백(가능한

경우)도 획득하여 기관의 평가를 보완해야 한다. 현장 방문은 평가를 실시하는 데 요구되는 필수적인

지식과 기술을 보유한 인물이 수행해야 한다.

5.4.3 실사에는 서비스 제공업체와 관련된 모든 주요 정보를 평가하는 과정이 포함되어야 한다. 평가 대상

정보로는 서비스 제공업체의 다음과 같은 정보가 포함된다.

(a) 계약 기간 내 아웃소싱 계약을 이행하고 지원할 경력 및 역량

(b) 재무 안정성 및 리소스(실사는 비즈니스 전략 및 목표, 감사를 받은 재무제표, 주요 지분 후원사의

계약 안정성 및 불리한 조건에서도 서비스 약속을 이행할 수 있는 능력 등을 검토한 결과를 근거로

서비스 제공업체의 생존 능력을 판단하는 신용 평가와 비슷하게 실시해야 함)

(d) 보안 및 내부 통제, 감사 적용 범위, 보고 및 모니터링 환경

(e) 리스크 관리 프레임워크 및 역량 - 예를 들어 아웃소싱 계약과 관련된 기술 리스크 관리6 및 비즈니스

연속성 관리7 등

(f) 재해 복구 준비성 및 재해 복구 전적

50 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

(g) 하도급 계약업체의 성공적인 운용 여부 및 하도급 계약업체에 대한 의존도

(h) 보험 적용 범위

(i) 외부 환경(예: 서비스 제공업체가 사업 활동을 영위하는 사법권의 정치, 경제, 사회 및 법적 환경)

(j) 관련 법률 및 규정을 준수할 역량 및 관련 법률과 규정을 준수하는 것과 관련된 전적

5.4.4 또한 기관은 자사 아웃소싱 계약의 일부분을 담당하는 서비스 제공업체 소속 직원들이 기관에서 해당

직무 역할을 수행하는 담당자를 채용할 때 적용하는 채용 정책(자사 직원에 적용되는 기준과 일관성

있음)에 부합하는지 확인해야 한다. 다음은 이 평가에서 고려해야 하는 사항을 몇 가지 예로 들어본

것이다(전체가 아님).

(a) 징계 또는 형사 처벌의 성격을 지닌 각종 법적 절차의 대상이 된 경험 여부

(b) 각종 불법 행위의 유죄를 인정받은 전적이 있는지 여부(특히 사기, 사칭 또는 부정행위 관련 사건)

(d) 재정적으로 건실한 인물인지 여부

이 평가에서 불리한 사실이 발견되는 경우 이는 아웃소싱 계약과의 관련성과 계약에 미치는 영향력이라는

측면에서 고려해야 한다.

5.4.5 평가 프로세스 중에 실시하는 실사는 문서로 기록해야 하며 아웃소싱 계약의 모니터링 및 관리

프로세스의 일환으로 정기적으로 다시 수행해야 한다. 실사 프로세스는 성격에 따라 다양한 형태를 띨

수 있으며, 계약의 리스크 정도와 서비스 중단 또는 보안과 기밀성 침해 등이 기관에 미치는 영향 등에

따라서도 달라질 수 있다(예: 아웃소싱 계약을 기관 산하 그룹 내부에서 체결하는 경우 축소된 실사만

으로 충분할 수 있음8). 기관은 실사 평가에 충분히 최신 버전인 정보를 사용해야 한다. 또한 기관은

실사 평가에서 알아낸 사실을 감안하여 서비스 제공업체를 대상으로 감사를 실시할 빈도와 범위를 결정

해야 한다.

2 정보보호위원회 심의･의결

금융회사는 중요도 평가 결과, 자체 업무 위수탁 운영기준 및 클라우드서비스

제공자 평가 결과에 대해 정보보호위원회를 개최하여 심의･의결하여야 한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

②금융회사 또는 전자금융업자는 제1항에 따른 평가결과 및 자체 업무 위수탁 운영기준에 대하여 제8조의

2에 따른 정보보호위원회의 심의･의결을 거쳐야 한다.

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

계약 체결

1.서비스 위탁 관련 명시사항

2.보안 관련 명시사항

3.출구 전략 이행을 위한 명시사항

4.책임관계 명확화

FINANCIAL SECURITY INSTITUTE

제 장 계약 체결

▶ 감독규정 [별표 2의3] 업무위탁 운영기준 보완사항 中

5.위수탁 계약서 주요 기재사항

∙클라우드컴퓨팅서비스가 제공되는 물리적 위치

∙재위탁 또는 재위탁의 변경 등 금융회사 또는 전자금융업자의 동의가 필요한 사항

∙위탁하는 업무, 데이터에 관한 사항

∙위수탁 계약 및 재위탁 관련 중요 변경사항이 있는 경우 등 금융회사 또는 전자금융업자에 대한

통보가 필요한 사항

∙감독당국 또는 내외부 감사인의 조사･접근(현장방문 포함) 수용 의무

∙계약의 파기 또는 종료, 기타 위탁업무의 원활한 이행이 어려운 경우 해당 위탁업무의 이전 및

반환 등에 관한 사항

∙위탁 및 위탁업무 관련 준거법 준수의무 및 자율규제에 대한 협조

∙비상대응훈련(재해복구전환훈련 포함), 취약점 분석･평가, 침해사고대응훈련 등의 협조에 관한 사항

∙위탁업무 모니터링 지원에 관한 사항

∙전송 정보에 대한 정보보호 의무 및 서비스 연속성 보장 등의 보안 요구사항

∙재위탁 관련 클라우드서비스 제공자의 관리･감독 의무에 관한 사항

∙재위탁 또는 재위탁 변경에 따른 보안리스크 증가 등 서비스에 악영향을 미칠 수 있는 경우 원위탁자의

계약해지 권한 보유에 관한 사항

▶ 금융기관의 업무위탁 등에 관한 규정 [별표3] 업무 위수탁 기준 中

7.위수탁 계약서 주요 기재사항

∙위수탁업무의 범위(공급주기, 내용, 형태 등)

∙업무수행의 수단

∙정보제공 책임(수탁자 내부의 영업상 중요정보 포함)

∙수탁자에 대한 감사 권한

∙업무위수탁에 대한 수수료 및 보상금

54 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

∙위탁업무에서 발생하는 자료에 대한 위탁금융회사의 소유권과 당해 금융회사의 물적설비 및 지적

재산권 등의 이용조건

∙고객정보의 보호 및 비밀유지에 관한 사항

∙업무의 연속성을 확보하기 위한 백업시스템 확보 등 비상계획

∙면책조항, 보험가입, 분쟁해결(중재, 조정 등) 방법

∙수탁자의 책임한계

∙계약의 파기 또는 종료(위탁금융회사의 계약해지권, 자료의 복구방법 등)에 관한 규정

∙감독당국의 검사 수용의무

∙재위탁시 발생한 손해에 대해 원위탁자의 연대배상책임에 대한 내용

∙수탁자가 업무 재위탁시 원계약 준수 명시

∙준거법 및 관할법원(업무위수탁 상대방이 외국에 소재하는 경우)

∙기타 업무위수탁에 따른 리스크관리 등을 위하여 필요한 사항 등

▶ 금융회사의 정보처리 업무 위탁에 관한 규정 제4조(정보처리의 위탁) 中

③금융회사는 제1항에 따른 정보처리 위탁계약을 체결할 경우 데이터에 대한 접근통제, 전산사고 등에

따른 이용자 피해에 대한 위･수탁회사간의 책임관계, 수탁회사에 대한 감독당국의 감독･검사 수용의무,

수탁회사의 분쟁해결 과정에서의 재판관할 등을 계약 내용에 반드시 포함하여 위탁에 따라 발생할 수

있는 책임관계를 명확히 하여야 한다.

FINANCIAL SECURITY INSTITUTE

클라우드서비스 제공자와 계약 시 아래 분야별 명시사항을 계약서 등에 포함

하되, 업무 중요도 평가 결과에 따라 중요도가 낮은 업무의 경우 금융회사가

선택적으로 포함할 수 있다.

1 서비스 위탁 관련 명시사항

가.서비스 범위 및 물리적 위치에 관한 사항

클라우드서비스를 이용하는 업무, 처리되는 데이터, 데이터가 처리되는

물리적 위치(시･군 단위까지 기재하고, 금융당국 요청 시 세부 위치 별도

제출) 명시

고유식별정보 또는 개인신용정보를 처리하는 경우, 해당 정보를 처리하는

모든 시스템(해당 정보가 일시적으로 처리되는 시스템 포함*)을 국내에

설치하여야 하고,

* 해당 정보가 처리되는 경우 관리시스템도 포함됨

l 해당 전산실 내에 무선통신망이 설치되어있지 않아야 함

금융회사의 데이터가 국외에서 처리되는 경우(고유식별정보･개인신용정보

이외) 정보 처리, 보안 관리 등에 대한 해당 국가의 법적 의무사항에 대해

사전에 파악하여 통지할 것

l 관련 법적 의무사항이 신규 발생되거나 개정되는 경우 이를 파악하여

통지할 것

56 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

주요국 금융권 지침 내 물리적 위치 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.6 데이터와 데이터 처리 위치

19) CEBS 가이드라인 4(4)에 명시된 바와 같이 금융회사는 감독 당국의 효과적인 감독에 있어 발생 가능한

데이터 보호 위험 때문에 EEA 외부에서 수행되는 위탁 계약을 체결하고 관리 할 때 특별한 주의를

기울여야한다.

20) 금융회사는 클라우드 환경으로 위탁할 때 데이터 및 데이터 처리 위치 고려 사항에 대해 위험 기반

접근 방식을 채택해야 한다. 평가는 법적인 위험 및 규정 준수 문제, 위탁 서비스가 제공되거나 제공될

가능성이 있는 국가 및 데이터가 저장되거나 저장 될 가능성이 있는 국가와 관련된 잠재적인 위험

영향을 다루어야 한다. 평가에는 해당 관할권보다 넓은 정치 및 보안 안정성에 대한 고려가 포함되어야

한다(해당 관할 구역에서 시행중인 법률 (데이터 보호에 관한 법률 포함). 클라우드 서비스 제공 업체의

실패 시 적용될 도산법(Insolvency law) 조항을 포함하여 해당 관할 지역의 법 집행 조항을 준수해야

한다. 금융회사는 이러한 위험이 위탁 업무의 중요성에 비례하여 허용 가능한 한도 내에서 유지 되도록

해야 한다.

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 6. 법적, 규제, 평판 고려 사항

퍼블릭 클라우드 컴퓨팅 모델을 배포하기 전 금융 기관에 대한 주요 고려 사항에는 법률, 규제 및 평판

위험을 명확하게 식별하고 완화하는 것이 포함된다. 고객 데이터가 해외에서 저장되거나 처리될 수 있기

때문에, 클라우드 컴퓨팅의 특성상 관련 법규 준수의 복잡성이 증가할 수 있다. 클라우드 컴퓨팅 서비스

공급자가 해외에서 데이터를 처리 및 저장하거나 금융 기관의 데이터를 다양한 법률 및 규제 관할 구역

아래에서 운영되는 다른 고객의 데이터와 함께 사용하는 환경에서는, 규정을 평가할 수 있는 금융 기관의

능력이 더 복잡하고 어려울 수 있다.

금융 기관은 호스팅 국가 내의 법률 및 규정의 적용 가능성과 해당 데이터에 대한 액세스를 통제할 수 있는

금융 기관의 능력을 이해해야 한다. 클라우드 컴퓨팅 서비스 공급자와의 계약은 개인 정보 보호 법률 준수,

보안 사고에 대한 대응 및 보고, 고객 및 규제 당국에 위반 사실을 알리기 위한 규제 요구 사항 충족과

관련한 금융 기관의 책임에 대해 서비스 제공 업체의 의무를 명시해야 한다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항> 中

[법･규제적 고려사항 中]

∙서비스 제공자의 사업장이 위치한 관할지와 그것이 기업의 위탁 계약에 어떤 영향을 미치는지 확인해야

한다.

∙서비스 제공자와의 계약이 영국의 관할권과 법률로 규제되는 지 알아야한다. 그렇지 않은 경우 기업, 감사원

및 관련 규제 기관이 데이터 및 사업장에 효과적으로 접근할 수 있어야한다. (데이터 및 사업장 접근에 관한

아래 섹션 참조)

∙개인정보 보호 규정(GDPR)을 통해 발생할 수 있는 추가 법적 또는 규제적 요구사항을 고려해야 한다.

[효율적인 데이터 접근 中]

∙영국 규제 당국이 효과적으로 접근할 수 없는 관할 구역에 데이터가 저장되지 않아야 한다. 관할 구역의

광범위한 정치적 및 안보적 안정성과 관할 구역에서 시행중인 법률(데이터 보호 포함), 관할 구역의 국제적

의무가 고려되어야 한다. 이는 사법 관할 구역 내의 법 집행 규정을 고려해야한다.

[개인정보보호규정(GDPR)]

기업은 개인정보 보호 규정(GDPR) 및 필요한 경우 데이터 보호법(2018)을 준수해야 한다. 데이터 보호

FINANCIAL SECURITY INSTITUTE

요구 사항은 FCA 안내서와 별도이며, 각 요구 사항은 별도로 충족해야 한다. GDPR은 정보 위원회(ICO,

Information Commissioner's Office)가 감독한다. 따라서 기업은 클라우드 컴퓨팅에 관한 ICO의 지침

및 기타 관련 지침을 따라야 한다. 관련 있는 경우, 기업은 유럽 경제 지역 외부로 개인 정보를 전송하는

것에 대한 ICO 지침을 참고해야 한다.

4.(싱가포르-MAS) 아웃소싱 가이드라인 – 5.10 싱가포르 국외에서의 아웃소싱

5.10.1 외국에서 서비스 제공업체와 계약을 체결하거나 아웃소싱 된 직무 역할을 외국에서 수행하는 아웃

소싱 계약의 경우, 외국의 경제적, 사회적 및 정치적 상황과 사건사고가 기관에 불리한 영향을 미칠

수 있는 국가적 리스크에 기관을 노출시킬 가능성이 있다. 그와 같은 상황과 사건사고로 인해 서비스

제공업체가 기관과의 계약서 약관대로 서비스를 이행할 수 없게 될 수 있다. 기관은 그러한 아웃소싱

계약의 리스크 관리 과정에서 실사의 일환으로, 지속적으로 다음과 같은 요인을 감안해야 한다.

(a) 정부 정책

(b) 정치적, 사회적, 경제적 상황

(d) 기관에서 서비스 제공업체를 효율적으로 모니터링하는 능력 및 자사 비즈니스 연속성 관리 계획과

출구 전략을 실행할 능력

또한 기관은 서비스 제공업체 측에서 아웃소싱 계약과 관련하여 정립한 재해 복구 계획 및 위치를 알고

있어야 한다. 정보 및 데이터를 외국의 주요 현장 또는 백업 현장으로 이동할 수 있기 때문에, 전송

매체와 관련된 리스크(실물 또는 전자 파일 등 형식 불문)도 감안해야 한다.

5.10.2 싱가포르 국외에 위치한 서비스 제공업체와 체결한 중요 아웃소싱 계약의 경우 MAS에서 기관의

싱가포르 국내 비즈니스 업무 활동을 감독 관리하는 업무(즉 장부, 계좌 및 문서)를 적시에 수행하는데

방해가 되지 않는 방식으로 체결하여 이행해야 한다. 특히 주의할 부분은 다음과 같다.

(a) 기관은 원칙적으로 기밀 유지 조항 및 협약을 대체로 지키는 사법권에서 비즈니스를 영위하는 서비스

제공업체에만 한정하여 아웃소싱 계약을 체결해야 한다.

(b) 기관은 서비스 제공업체에서 MAS 또는 MAS가 지명한 대행기관이 정보에 즉시 액세스하는 과정을

법무 또는 행정적 제약 사항에 의해 방해 받을 가능성이 있는 사법권에 소재한 서비스 제공업체와는

아웃소싱 계약을 체결하지 말아야 한다. 기관은 적어도 MAS에서 관련 정보를 요청하는 경우 즉시

서비스 제공업체로부터 해당 정보를 회수할 수 있도록 총력을 기울여야 한다. 기관은 MAS에 기관

에서 아웃소싱 계약을 체결할 때 MAS에 서비스 제공업체를 점검할 권한을 제공하였으며, 기관과

서비스 제공업체의 아웃소싱 계약과 관련된 정보, 보고서 및 알아낸 사실 등의 데이터에 액세스할

권한을 허가하였음을(본문의 5.9단에 따라) 서면으로 확인해주어야 한다.

명시된 기관과 MAS의 액세스 권한이 제한 또는 거부되는 상황이 발생하는 경우 그러한 사실을

MAS에 알려야 한다.

58 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

나.접근권 및 감사권 수용 의무에 관한 사항

금융당국, 침해사고대응기관, 금융회사 사내･사외 감사(정보보호담당자

포함) 및 금융회사가 임명한 제3자(이하 ‘금융당국 및 내외부 감사인’)는

데이터센터 등 현장방문을 포함한 조사･접근을 수행*할 수 있음

* 금융회사가 지정한 제3자의 감사보고서 검토로 내외부 감사인(금융당국, 침해사고대응기관

이외)의 조사･접근을 일부 대체할 수 있음

l 클라우드서비스 제공자는 이를 수용하며, 현장방문, 관련 자료 제출 요구

및 검사에 적극 협조하여야 함

금융당국 및 내외부 감사인은 클라우드서비스에 이용되는 모든 범위의 장치,

시스템, 네트워크 및 데이터에 접근할 수 있음

금융당국은 클라우드서비스 제공자를 대상으로 감독･검사를 수행할 수

있고,

l 내외부 감사인은 클라우드서비스 제공자를 대상으로 감사를 수행할 수

있으며, 필요 시, 다수 금융회사가 연합하여 합동(또는 합동 수행을 임명

받은 제3자를 통해)으로 감사를 수행할 수도 있음

금융당국 및 내외부 감사인은 클라우드서비스 제공자에게 제3자 인증

또는 내부 감사 보고서의 제출을 요구할 수 있고,

l 금융회사 업무와 관련된 대상에 대해 내부 감사 보고서의 보완을 요구

할 수 있음

금융당국 및 내외부 감사인은 감독･검사 및 감사 수행 또는 인증･감사

보고서 검토 결과 지적된 사항에 대해 지체 없이 조치할 것을 요구

할 수 있음

FINANCIAL SECURITY INSTITUTE

주요국 금융권 지침 내 감사권 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.3 접근 및 감사권, 4.4 접근권 상세

[For 금융회사]

6) CEBS 가이드라인 8 (2) (g)와 클라우드 위탁의 목적에 따라 금융회사는 클라우드 서비스 제공자와

서면 계약을 맺고 있는지 확인해야한다. 서면 계약 후 클라우드 서비스 공급자는 의무를 이행한다.

(a) - 금융회사,

- 그 목적을 위해 금융회사로부터 임명된 제3자,

- 영업장(본사 및 운영센터)에 접근 가능한 금융회사의 감사원

에게 위탁 서비스를 제공하는 데 사용되는 모든 범위의 장치, 시스템, 네트워크 및 데이터를 제공

할 의무(접근권)

(b) - 금융회사,

- 그 목적을 위해 금융회사로부터 임명된 제3자,

- 금융회사의 감사원

에게 위탁 서비스와 관련된 제한 없는 검사 및 감사권 부여

7) 접근권과 감사권의 효과적인 행사는 계약상의 약정에 의해 방해되거나 제한되어서는 안 된다. 감사의

수행이나 특정 감사 기법의 사용이 다른 고객의 환경에 위험을 초래할 수 있는 경우, 기관이 요구하는

유사한 수준의 보증을 제공하기 위한 대체 방법을 합의해야 한다.

8) 금융회사는 위험 기반 방식으로 감사 및 액세스 권한을 행사해야한다. 금융회사가 자체 감사 자원을

사용하지 않는 경우, 다음 도구 중 적어도 하나를 사용하는 것을 고려해야한다.

(a) 동일한 클라우드 서비스 제공자의 다른 고객과 연합하여 합동감사팀을 조직하여 함께 수행하거나

제3자에 의해 수행하는 것을 고려(감사 자원을 더욱 효율적으로 사용하고 고객과 클라우드 서비스

제공자 모두의 조직적 부담을 줄이기 위하여)

(b) 클라우드 서비스 제공자가 제출하는 제3자 인증 또는 아래 사항을 충족하는 클라우드 서비스 제공자의

내부감사 보고서 채택을 고려

∙인증 또는 감사 보고서의 범위가 금융회사에 의해 주요사항으로 식별된 시스템(즉, 프로세스, 애플

리케이션, 인프라, 데이터 센터 등) 및 통제를 포함하도록 보장한다.

∙금융회사는 지속적으로 인증 또는 감사 보고서의 내용을 철저히 평가하고, 특히 핵심 통제가 차기

버전의 감사 보고서에서 다루어지고, 인증 또는 감사 보고서가 폐기되지 않았음을 확인한다.

∙인증 또는 감사자의 적격성이 만족된다. (인증 또는 감사 회사의 교체, 전문성, 자격, 기본 감사

파일에 있는 증거의 재확인/검증)

∙널리 인정된 표준에 따라 인증이 발급되고 감사가 수행되며, 주요 통제의 운영 효율성에 대한 테스트가

수행된다.

∙금융회사가 시스템 또는 통제에 대해 인증 및 감사 보고서의 범위 확대를 요청할 수 있는 계약적 권

한을 가진다. 범위 변경 요청의 횟수와 빈도는 합리적이어야 하며, 위험 관리 관점에서 타당해야 한다.

9) 클라우드 솔루션이 기술적으로 매우 복잡함을 고려하여, 금융회사는 감사를 수행하는 직원이 내부 감사원

또는 대신하여 감사를 수행하는 인력이거나 클라우드 서비스 제공자가 지정한 감사원임을 확인해야 한다.

또는 제3자 인증이나 서비스 제공 업체의 감사 보고서를 검토하는 직원이 클라우드 솔루션을 효과적이고

적절하게 감사 및/또는 평가를 수행하기 위해 올바른 기술과 지식을 획득했는지 확인해야한다.

[For 관할당국]

10) CEBS 가이드라인 가이드라인 8(2)(h)과 클라우드 위탁의 목적에 따라 금융회사는 클라우드 서비스

제공 업체와 서면으로 계약을 맺어야 한다. 서면 계약 후 클라우드 서비스 공급자는 의무를 이행한다.

(a) 금융회사를 감독하는 관할 당국에게 클라우드 서비스 제공자의 영업장(본사 및 운영센터)에 대한

60 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

모든 접근을 허용한다. 이는 금융회사에 서비스를 제공하기 위해 사용되는 모든 범위의 디바이스,

시스템, 네트워크, 데이터를 포함한다.(접근권)

(b) 금융회사를 감독하는 관할 당국에게 위탁 서비스와 관련된 제한 없는 검사 및 감사권 부여한다.

(감사권)

11) 금융회사는 계약상의 약정이 관할 당국이 감독 기능 및 목표를 수행하는 것을 방해하지 않도록 보장

해야한다.

12) 관할 당국이 접근 및 감사권을 행사함으로써 얻는 정보는 Directive 2013/36/EU (CRD IV)제53조

이후에 언급 된 전문 비밀 및 기밀 유지 요건을 따라야한다. 관할 당국은 기밀 유지, 전문 비밀 및

정보 교환에 관한 연방법의 조항을 준수하지 못하게 하는 어떠한 종류의 계약 또는 선언을 하지 말아야한다.

13) 관할 당국은 감사 결과를 토대로 필요한 경우 금융회사에 직접 조치를 취하여 식별된 모든 결함을 처리

해야 한다.

14) 제6항 및 제10항에 언급 된 협정에는 다음 규정이 포함되어야 한다.

(a) 접근 권한을 행사하려는 당사자(기관, 관할 당국, 감사관 또는 기관 또는 관할 당국을 위해 행동하는

제3자)는 계획된 현장 방문 전, 관련 사업장에 대한 현장 방문에 대하여 합리적인 기간에 통지한다.

(응급 상황이나 위기 상황으로 인해 사전 통지가 불가능한 경우가 아니라면)

(b) 클라우드 서비스 제공 업체는 현장 방문과 관련하여 해당 관할 당국 및 기관 및 감사원과 완전히

협력해야 한다.

2.(미국-FFIEC) 아웃소싱 클라우드 컴퓨팅 – 3. 공급 업체 관리, 4. 감사

[공급 업체 관리]

클라우드 컴퓨팅 서비스 제공자를 관리할 때, 서비스 제공 업체가 고객 정보 및 기타 중요한 데이터를 보호

하기 위한 금융 기관의 법률 및 규정 요구 사항에 익숙하지 않은 경우 추가 통제 사항이 필요할 수 있다.

또한 그러한 서비스 제공자를 이용하면 해당 기관이 감당할 수 없거나 완화할 수 없는 위험을 초래할 수

있다. 이러한 리스크의 한 예로 서비스 제공 업체가 규제 요구 사항을 충족하기 위한 변경 사항을 구현하지

않는 경우가 있다. 이러한 상황에서 경영진은 기관이 서비스 제공자를 고용할 수 없다고 판단할 수 있다.

서비스 제공 업체의 해약은 특히 소규모 금융 기관의 경우 클라우드 컴퓨팅에서 복잡해질 수 있는 공급

업체 관리의 또 다른 측면이다. 계약 및 서비스 수준 협약은 데이터의 소유권, 위치 및 형식 및 분쟁 해결에

대해 구체적이어야 한다.

[감사]

금융 기관은 제3자 서비스 제공자의 사용과 관련된 위험 및 위험 완화를 효과적으로 평가하기 위해 서비스

업체의 내부 통제의 적절성을 결정해야 한다. 감사원은 이러한 통제가 적절하게 기능하는지 여부를 평가

하여 이를 지원한다.

금융 기관의 감사 정책 및 관행에 따라 아웃소싱 클라우드 컴퓨팅에 대한 수용 가능한 IT 감사 범위를 제공

하기 위해 조정이 필요할 수 있다. 또한 공유 환경 및 가상화 기술을 평가하는 데 충분한 전문 지식을 갖춘

인력과 추가 교육을 받은 내부 감사원을 보강해야 할 수도 있다.

3.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항> 中

[서비스 제공자 감독]

기업은 규제 체제 하에서 모든 의무를 완수할 책임이 있으며, 책임을 서비스 제공자에게 위임할 수는 없다.

기업은 다음 사항을 고차원적으로 수행해야한다.

∙제공받는 서비스를 명확히 밝히고, 기업과 서비스 제공자(들) 간의 책임과 의무가 어디서 시작되고 끝나는지

명확히 밝혀야 한다.

FINANCIAL SECURITY INSTITUTE

∙서비스 제공자의 일상적인 관리와 전략적 관리에 대한 책임을 할당해야 한다.

∙직원이 위탁 업무를 감독하고 테스트할 수 있고 발생하는 위험을 식별, 모니터링 및 완화할 수 있으며

기존 제3자 제공자의 해약 또는 이전을 적절하게 관리하기 위해, 충분한 기술과 자원을 갖추고 있는지

확인해야 한다.

∙분쟁 해결을 위한 적절한 조치가 존재하는지 확인해야 한다.

[사업장 방문]

SYSC 8.1.8R(9)은 UCITS 투자 회사가 “위탁 업무 관련 데이터뿐만 아니라 서비스 제공자의 사업장에

효과적으로 접근” 할 수 있도록 요구한다.

이와 별도로, MiFID 조직 규칙 제 31 조 제 2 항(i)은 “투자 회사, 감사원 및 관할 당국은 위탁 기능 관련 데이터에

효과적으로 접근할 수 있고, 이 조항에 따라 효과적인 감시를 목적으로 필요하다고 판단하는 서비스 제공자의

사업장에 효과적으로 접근할 수 있다. 그리고 관할 당국이 그러한 접근권을 행사할 수 있다.”고 설명한다.

우리는 ‘사업장’을 포괄적인 범위의 사업장으로 간주한다. 여기에는 본사, 운영 센터가 포함될 수 있지만

반드시 데이터 센터가 포함되는 것은 아니다.

이러한 요구 사항이 규칙 또는 직접 적용 가능한 조항으로 적용되는 기업의 경우, 해당 계약은 사업장 방문을

허용해야 한다. 그러므로 사업장이 효과적인 감독 수행과 관련이 있음에 초점을 두어야 한다. 반드시 모든

사업장을 방문할 필요는 없다. 예를 들어 서비스 제공자는 보안상의 이유로 데이터 센터와 같은 일부 장소에

대한 방문을 제한할 수 있다.

기업은 또한 관련 법규의 특정 요구 사항을 알고 있어야한다. 예를 들어, Solvency II 규정 274조는 보험

또는 재보험 사업이 “서비스 제공자의 사업장에 대한 현장 검사 수행을 포함하여 외주 기능 및 활동과

관련된 모든 정보에 효과적으로 접근”할 것을 요구한다.

특정 고려 사항은 다음과 같다.

[기업 및 감사원 방문]

∙기업은 관련 법률 및 규정에 따라 해당 사업장을 현장 방문할 수 있어야한다. 이 권리는 제한할 수 없다.

∙기업은 긴급 상황이나 위기 상황이 있는 경우를 제외하고는 이 방문에 대한 합당한 사전 서면 통보를

제공할 수 있다.

∙기업은 감사원을 선임할 수 있다. 이는 기업의 회계 감사원이어야 하며 위탁 제공자가 선임한 감사원이

아니어야 한다.

∙기업 및(또는) 감사원 방문 범위는 해당 법적 및 규제 요구 사항에 따라 기업 및 자회사가 이용하는

서비스로 제한될 수 있다.

[규제 담당자 방문]

∙규제 기관이 필요하다고 판단하고 관련 법률 및 규정 요구 사항에 따라 필요한 경우에만 위탁 제공자의

사업장에 방문 가능하다. 기업은 이 외의 조건을 더 이상 규정해서는 안 된다.

∙위탁 제공자는 그러한 방문 중에 규제 당국의 합리적인 요청에 협조해야 한다.

∙규제 기관은 긴급 상황이나 위기 상황을 제외하고 업무 시간과 위탁 제공자가 지정한 시간 또는 합당한

통지를 통해 방문할 수 있다.

∙규제 기관에서 참석하는 직원에 대한 제한은 없다. 그러나 규제 기관은 참석할 직원에 관한 정보를 제공할

수 있고 제공할 것이다.

∙방문하는 동안 규제 기관은 해당 금융 서비스 법규에 따라 규제 대상 기업 또는 자회사에 대한 서비스를

볼 수 있어야한다. 규제 기관은 위탁 제공자의 운영을 축소시키거나 중단할 수 있다.

4.(싱가포르-MAS) 아웃소싱 가이드라인 – 5.9 감사 및 점검

5.9.1 기관의 아웃소싱 계약은 기관이 자사 비즈니스 업무 활동을 효율적으로 관리하는 데 지장을 주거나

62 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

MAS에서 주어진 감독 역할 및 목표를 수행하는 데 방해가 되어서는 안 된다.

5.9.2 기관은 중요 아웃소싱 계약을 위한 자사 아웃소싱 계약서 전체에 다음과 같은 조항을 포함해야 한다.

(a) 기관에서 서비스 제공업체 또는 그 하도급 계약업체를 대상으로 사내 또는 사외 감사기관의 주도로,

또는 기관에서 지명한 대행업체가 주도하여 감사를 실시할 수 있어야 한다. 그리하여 서비스 제공

업체 및 그 하도급 계약업체에 대하여 작성된 보고서 및 발견된 사실을 입수해야 하며, 이는 서비스

제공업체 또는 그 하도급 계약업체의 사내 또는 사외 감사기관이나 아웃소싱 계약과 관련하여

서비스 제공업체 및 그 하도급 계약업체에서 지명한 대행업체 등이 작성하도록 한다.

(b) MAS 또는 MAS에서 지명한 각종 대행업체에서 기관의 계약상의 관리를 행사하여 다음과 같은

행위를 할 수 있도록 한다(필요한 경우 또는 편의에 따라).

(i) 서비스 제공업체 및 그 하도급 계약업체에 접근하여 이를 점검하고 기관 측에서 제공하여 서비스

제공업체 및 그 하도급 계약업체에서 보관 또는 처리 중인 거래 기록 및 문서, 정보 등을 입수한다.

(ii) 서비스 제공업체 또는 그 하도급 계약업체에 대한 보고서 및 발견된 사실 기록에 액세스한다.

이러한 기록은 서비스 제공업체 및 그 하도급 계약업체의 사내 또는 사외 감사 기관, 또는 아웃

소싱 계약과 관련하여 서비스 제공업체 및 그 하도급 계약업체에서 지명한 대행업체에서 작성한다.

5.9.3 중요 아웃소싱 계약을 위한 아웃소싱 계약서에는 서비스 제공업체가 가능한 한 최대한 MAS 또는

기관의 요청에 부응하도록 서비스 제공업체 또는 그 하도급 계약업체에 요구하는 조항, 서비스 제공업체

및 그 하도급 계약업체가 MAS 측에 아웃소싱 계약과 관련하여 자사 보안 및 통제 환경에 대한 각종

보고서를 제출하도록 하는 조항도 포함해야 한다.

5.9.4 기관은 서비스 제공업체 및 해당 서비스 제공업체가 아웃소싱 계약에서 고용한 하도급 계약업체

(예: 재해 복구 및 백업 서비스 제공업체 등) 모두 아웃소싱 계약에서 이러한 기대 사항에 부합하도록

해야 한다. MAS에서는 기관 측에 당청에서 보유한 점검 권한을 행사할 의향이 있음을 합당한 유예

기간을 두고 통보하며 알아낸 사실들을 해당 기관과 공유한다(경우에 따라).

5.9.5 기관은 자사의 모든 아웃소싱 계약을 대상으로 독립적인 감사 및/또는 전문가 평가를 실시해야 한다.

감사 및 전문가 평가의 빈도를 결정할 때, 기관은 아웃소싱 계약의 성격과 리스크 정도 및 기관에 미치는

파급력 등을 감안해야 한다. 감사 및 전문가 평가의 범위에는 서비스 제공업체 및 그 하도급 계약업체의

보안17 및 통제 환경 실태 평가, 사고 관리 프로세스(중대한 위반, 서비스 중단 또는 기타 중요한

문제에 대하여) 및 아웃소싱 계약과 관련한 기관의 본 가이드라인 준수 실태 등을 포함해야 한다.

5.9.6 서비스 제공업체 및 그 하도급 계약업체를 대상으로 한 독립적인 감사 및/또는 전문가 평가는 기관의

사내 또는 사외 감사기관, 서비스 제공업체의 사외 감사기관18 또는 기관에서 지명한 대행업체가 수행

해도 좋다. 지명된 인물은 계약 내용대로 의무를 이행하는 데 필요한 지식과 기술을 보유하고 있어야

하며, 아웃소싱 계약을 이행하는 팀 또는 부서와 관련이 없는 인물이어야 한다. 고위 경영진은 감사

결과 알아낸 사실을 처리하기 위해 적시에 적절한 시정 조치를 취하도록 해야 한다19. 기관과 서비스

제공업체는 적절한 프로세스를 마련하여 시정 조치를 만족스럽게 완수할 수 있도록 해야 한다. 서비스

제공업체가 감사 결과 알아낸 사실을 처리하기 위해 취한 조치는 기관에서 적절히 검증한 다음에 종결

한다. 필요한 경우, 업무에 필요한 지식과 기술을 보유한 관계 인물이 이렇게 적용한 보안 및 통제 수단의

효율성을 검증하는 데 관여한다.

5.9.7 중대한 사안 및 우려 사항은 기관 및 서비스 제공업체의 고위 경영진이나 기관의 이사회(필요한 경우)에

적시에 알려야 한다. 기관에서는 제기된 리스크가 기관의 리스크 허용 범위를 벗어나는 경우 해당 아웃

소싱 계약을 검토하는 조치를 취해야 한다.

5.9.8 감사 보고서 사본은 기관이 MAS에 제출한다. 또한 기관은 MAS에 아웃소싱 계약과 관련한 기관

및 서비스 제공업체의 기타 보고서 또는 정보를 제공해야 한다(요청 시).

FINANCIAL SECURITY INSTITUTE

다.재위탁 관리에 관한 사항

클라우드서비스 제공자가 일부 업무를 재위탁할 경우 재위탁 업무의 범위

및 수탁자 내역 등을 명확하게 제공할 것

l 클라우드서비스 제공자는 업무 재위탁 시 수탁자가 원계약을 준수하도록

하고, 재위탁 계약서에 본 가이드의 계약서 명시사항 중 관련 부분을

포함할 것

재위탁 업무가 신규로 발생되거나 중요 변경 사항이 발생할 경우 금융

회사에 사전 동의를 받아야 하며,

l 금융회사는 이에 따른 보안리스크 등 서비스 영향을 고려하여 동의하지

않거나 계약을 해지할 수 있음

클라우드서비스 제공자는 정보기술부문의 정보보호와 관련된 업무를 위탁받은

경우, 해당업무를 제3자에게 재위탁할 수 없음(전자금융거래법 제40조제6항)

주요국 금융권 지침 내 재위탁 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.7 재위탁

21) CEBS 지침의 가이드라인 10에 명시된 바와 같이, 금융회사는 위탁 서비스 제공 업체가 다른 공급

업체에게 서비스 요소를 위탁하는 재위탁과 관련된 위험을 고려해야한다. 금융회사는 외주 업체가 금융

회사와 위탁 서비스 제공 업체 간에 존재하는 의무를 완전히 준수 할 경우에만 재위탁에 동의해야한다.

또한 금융회사는 위탁 계약에 따라 위탁 서비스 제공 업체의 책임을 수행하는 능력에 중대한 영향을

미치는 재위탁 업무에 따른 어떤 약점이나 실패 위험을 해결하기 위해 적절한 조치를 취해야 한다.

22) 금융회사와 클라우드 서비스 공급자 간의 위탁 계약은 잠재적인 외주에서 제외되는 모든 유형의 활동을

지정 해야 하며, 클라우드 서비스 제공자가 외주 계약을 체결한 서비스에 대한 전적인 책임과 감독을

유지해야 함을 나타낸다.

23) 위탁 계약에는 클라우드 서비스 제공 업체가 하청 업체 또는 초기 계약서에 명시된 외주 서비스에 대한

계획된 중요한 변경 사항을 금융회사에 통보해야하는 의무가 포함되어야 한다. 이러한 변경에 대한

통지 기간은 외주 업체 또는 외주 서비스의 변경이 효력을 발생하기 전에 금융회사가 제안된 변경 사항의

영향에 대한 위험 평가를 수행 할 수 있도록 계약 상 사전 합의되어야 한다.

24) 클라우드 서비스 제공 업체가 합의된 서비스의 위험 평가에 악영향을 미칠 수 있는 외주 업체 또는

외주 업체의 변경을 계획하는 경우, 금융회사는 계약을 해지 할 수 있는 권리를 가져야한다.

25) 금융회사는 클라우드 서비스 제공자 또는 그 하청 업체에 의해 서비스가 제공되는지 여부에 관계없이

전체 서비스의 성능을 지속적으로 검토하고 모니터링 해야 한다.

2 (영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – <위탁 시 고려사항> 中

[서비스 제공자 간의 관계]

64 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

위탁 공급망은 종종 복잡하다.

∙규제 대상 기업이 위탁 제공자와 직접 계약하지 않는 경우, 기업이 규제사항을 계속 준수할 수 있는지

여부를 결정하기 위해 규제 대상 업무와 관련된 재위탁 계약을 검토해야한다. 예를 들어, 기업은 보안

요구 사항과 데이터 및 사업장에 대한 효과적인 접근 방안을 고려해야한다. 규제 대상 기업은 위탁

제공자와 직접 계약하지 않더라도 이러한 규제 요구 사항을 준수할 수 있어야한다.

∙1999년 계약법(제3자의 권리)은 이러한 고려 사항과 관련 있을 수 있다.

∙규제 대상 기업은 서비스 제공자의 협력 방안을 고려해야한다. 예를 들어 기업 또는 서비스 제공자가

리드 시스템 통합(the lead systems integration) 역할을 담당하는가?

∙기업은 서비스 제공자의 서비스가 기업의 내부 시스템 또는 기타 제3자 시스템 (예: 대행 결제)과 쉽게

호환될 수 있는지 고려해야한다.

라.서비스 중지 등 서비스 수준에 관한 사항

클라우드서비스 제공자가 시스템 업데이트 등 불가피한 사유로 일정기간

동안 서비스를 중지해야 할 경우 사전에 금융회사와 협의할 것

해킹, 천재지변 등 예상하지 못한 사유로 정상적인 서비스 제공이 중단

되는 경우 지체 없이 금융회사에 통지할 것

l 또한, 서비스 중단 등 장애가 10분 이상 지속된 경우, 진행 상황 파악

등을 위한 연락 담당자를 지정하고 정확한 장애원인 분석 및 재발방지

대책을 마련하여 금융회사에 제공할 것

※ 클라우드컴퓨팅법에서는 중단 기간을 지정하고 있으나, 금융회사 중요 서비스의 경우 기간과

무관하게 중단 발생 시 통지할 필요

▶ 클라우드컴퓨팅법 제25조제1항제3호 및 동법 시행령 제16조

클라우드컴퓨팅서비스 제공자는 사전예고 없이 다음 각 호의 어느 하나에 해당하는 기간(당사자 간 계약

1.으로 기간을 정하였을 경우에는 그 기간을 말한다) 이상 서비스 중단이 발생한 때 지체 없이 그 사실을

2.해당 이용자에게 알려야 한다.

1.클라우드컴퓨팅서비스의 중단 기간이 연속해서 10분 이상인 경우

2.클라우드컴퓨팅서비스의 중단 사고가 발생한 때부터 24시간 이내에 클라우드컴퓨팅서비스가 2회

이상 중단된 경우로서 그 중단된 기간을 합하여 15분 이상인 경우

FINANCIAL SECURITY INSTITUTE

클라우드서비스 제공자는 장애･재해･파업･테러 등으로 서비스 지연 또는

중단이 발생할 경우 신속하게 복구하고 대응할 수 있는 절차 및 체계를

마련하여 금융회사에 통지하고, 이를 준수할 것

l 특히, 중요정보를 클라우드서비스를 통하여 처리하는 경우, 장애, 보안사고

등 유사 시 신속한 대응을 위해 필요한 시스템 운영 관련 상주 인력을

국내에 확보하고, 원활한 사고 대응을 위해 해당 인력의 관리시스템 접근

권한 등을 확보할 것

l 그 외, 클라우드서비스 가용성, 연속성, 성능 요건, 금융회사 지원 사항

등을 사전에 합의하여 명시할 것

계약의 파기 또는 종료, 기타 위탁업무의 원활한 이행이 어려운 경우 해당

위탁업무의 이전 및 반환 등에 관한 사항을 명시할 것(｢3. 출구 전략 이행을

위한 명시사항｣ 참조)

클라우드서비스 제공자와 금융회사 간에 분쟁으로 소송이 제기되는 경우

에는 민사소송법이 정한 법원을 관할 법원으로 하고, 당사자 일방이 외국

사업자인 경우에는 대한민국 법원이 국제재판관할권을 가짐

l 계약의 성립, 효력, 해석 및 이행과 관련하여서는 대한민국법을 적용

66 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

2 보안 관련 명시사항

가.데이터 관리 및 보호에 관한 사항

클라우드서비스 이용 관련 모든 정보(서비스 위탁 규모 등 포함)는 금융

회사가 위탁한 업무 범위 내에서만 처리되어야 함

수사목적, 법적 분쟁 발생 등에 따른 해외 관계당국 또는 해외의 제3자에

대한 정보 제공 관련 법령에 대해서 사전에 파악*하여 금융당국 및 금융

회사에 보고할 것(추가, 변경사항 포함)

* 정보 제공 시 정보 주체 통지를 금지하는 조항이 있을 경우 해당 조항도 포함되어야 함

(해당 조항에 따라 실제로 정보제공이 요구되었으나 정보 주체 통지가 불가한 경우에는

금융당국에 별도 통지할 것)

l 해당 법령에 따라 정보제공이 요구되는 경우 실제로 정보를 제공하기

전에 금융당국 및 금융회사에 통지하고, 관계국의 법령, 국가간 상호협정

등에서 정한 적법한 절차에 따라 처리할 것

- 단, 원칙적으로 정보주체의 동의를 받도록 하는 「개인정보보호법」,

「신용정보의 이용 및 보호에 관한 법률」 등을 준수할 것

금융회사가 클라우드서비스를 이용하여 처리하는 모든 정보는 금융회사의

소유로서 금융회사는 이 정보에 대해 언제든지 조회, 수정, 삭제할 수

있는 권리를 가짐

클라우드서비스 제공자는 정보에 대한 어떠한 권리도 주장할 수 없으며,

모든 정보 전송 시 암호화 기술을 적용하여야 함

l 그 밖에 클라우드서비스 제공자는 정보의 비인가 접근 및 유출 등을 방지

하기 위해 충분한 보호수단을 구현하여야 함

금융회사에서 수립한 업무 연속성 계획 및 안전성 확보조치 방안의 이행을

위해 협조 및 지원할 것

FINANCIAL SECURITY INSTITUTE

나.사고대응 및 취약점 분석･평가에 관한 사항

클라우드서비스 제공자는 재해 또는 사고 발생 시 신고 절차, 복구 및

대응 절차 등을 마련하고 주기적으로 훈련을 실시할 것

l 관련 직원을 모두 포함한 비상 연락 체계를 마련하고, 복구목표시간 및 복구

목표시점 요건을 사전에 합의하여 명시하며, 필요 시 공동 훈련을 실시할 것

사고 발생 시, 클라우드서비스 제공자는 이를 인지한 즉시 금융회사에

통지(침해사고의 경우 침해사고대응기관에도 통지)하고, 사고 조사 및 피해

복구에 적극 협조*할 것

* 사고 원인분석을 위한 자료 보전 및 제출, 현장 조사, 인력 지원, 피해 확산･재발 방지

및 복구를 위해 필요한 조치 등

※ 금융회사는 정보처리시스템 또는 통신회선 등의 장애로 10분 이상 전산업무 중단 또는

지연, 전산자료 또는 프로그램의 조작과 관련된 금융사고, 전자적 침해사고 등 관련 규정

에서 정한 사고 발생 시 지체 없이 금융감독원에 보고하여야 하고(감독규정 제73조), 클라

우드서비스 제공자는 침해사고 발생･이용자 정보 유출 시 지체 없이 그 사실을 해당 이용자

에게 알려야 하며, 특히 이용자 정보 유출 시 과학기술정보통신부장관에게 보고하여야 함

(클라우드컴퓨팅법 제25조)

클라우드서비스 제공자는 금융회사 및 침해사고대응기관이 감독규정 제24조,

제37조의3 및 제37조의4에 따라 수행하는 비상대응훈련, 재해복구전환

훈련, 통합보안관제, 침해사고대응훈련, 취약점 분석･평가 등을 수행할 수

있도록 지원할 것

클라우드서비스 제공자는 제공자가 관리하는 영역(인프라 등)에 대해

주기적으로* 제3자로부터 취약점 분석･평가를 수행하고 조치하였음을 금융

회사에 통지(금융당국 요청 시 세부 수행 결과를 제출)

* 이용 대상의 중요도에 따라 매년, 중대 변경 시 등 금융회사에서 적정한 주기를 판단하여

구체적으로 명시

l 또한, 금융회사는 관련 보안사고 발생 등 필요 시 클라우드서비스 제공자에

추가적인 점검 수행을 요구할 수 있음

68 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

다.기타 보안요구사항

리스크 관리 등을 위해 필요한 보안 요구사항을 명시하고, 각자의 정보

보호 역할과 책임 범위, 손해배상 및 계약해지 관련 사항을 명시할 것

l 특히, 클라우드서비스 제공자는 장애사고 발생 방지 등 적절한 서비스

품질 수준 보장 및 정보보호 역할과 책임을 다하기 위해 최선의 노력을

기울일 것

금융회사는 클라우드서비스 제공자의 업무수행인력에 대하여 사전 신원

조회를 실시(신원보증보험증권 징구로 갈음할 수 있음)하거나 대표자의

신원보증서를 징구할 수 있고,

l 클라우드서비스 제공자는 업무수행인력 내역 및 인력변경 시 인수인계에

관한 사항 등을 포함한 업무수행인력 관리방안을 제출할 것(감독규정 제60조

제1항제13호)

l 또한, 클라우드서비스 제공자는 직원 보안 교육을 주기적으로 실시하고,

교육 계획 및 수행 결과를 금융회사에 제출할 것

- 특히, 금융회사 관련 업무 수행에 따른 비밀유지 의무 준수 및 위반시

처벌내용 등에 대한 내용을 보안 교육에 포함할 것(감독규정 시행세칙

[별표 5의2])

클라우드서비스 제공자는 위탁 업무 관련 법규 및 자율규제를 준수하고,

금융회사의 위탁 업무 모니터링을 지원할 것

｢[부록] 금융분야 클라우드컴퓨팅서비스 제공기준｣ 내 서비스 제공기준을

만족할 것

FINANCIAL SECURITY INSTITUTE

3 출구 전략 이행을 위한 명시사항

클라우드서비스 제공자는 금융회사의 클라우드서비스 전환 및 종료 관련

절차에 적극적으로 협조할 것

클라우드서비스 제공자는 클라우드서비스의 전환 및 종료 시 서비스 중단

없이 정보를 안전하게 금융회사에 반환하도록 데이터 이전을 지원할 것

l 클라우드서비스 제공자는 금융회사에게 데이터 이전을 위한 충분한 시간을

제공하고, 데이터 삭제 이전에 금융회사에 서면으로 확인 받을 것

클라우드서비스 제공자는 데이터 이전이 완료된 후 금융회사의 정보를

복구 불가능한 방법으로 완전히 파기하고, 파기 확인서를 제출하여 정보의

파기 여부를 확인받을 것

l 특히, 개인정보의 경우 ｢개인정보보호법｣ 제21조 등 관계 법령을 준수하여

파기할 수 있도록 지원할 것

l 이 때, 재위탁된 정보, 관리 서비스 및 주변 솔루션 내 정보 등도 동일

하게 처리할 것

▶ 개인정보보호법 제21조(개인정보의 파기)

①개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을

때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는

그러하지 아니하다.

②개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하

여야 한다.

③개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당

개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장･관리하여야 한다.

④개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

▶ 개인정보보호법 시행령 제16조(개인정보의 파기방법)

①개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로

1.하여야 한다.

1.전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제

2.제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

70 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

②제1항에 따른 개인정보의 안전한 파기에 관한 세부 사항은 행정안전부장관이 정하여 고시한다.

▶ 개인정보의 안전성 확보조치 기준 제13조(개인정보의 파기)

①개인정보처리자는 개인정보를 파기할 경우 다음 각 호 중 어느 하나의 조치를 하여야 한다.

1.완전파괴(소각･파쇄 등)

2.전용 소자장비를 이용하여 삭제

3.데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

②개인정보처리자가 개인정보의 일부만을 파기하는 경우, 제1항의 방법으로 파기하는 것이 어려울 때

에는 다음 각 호의 조치를 하여야 한다.

1.전자적 파일 형태인 경우 : 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리 및 감독

2.제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우 : 해당 부분을 마스킹, 천공 등으로

삭제

클라우드서비스 제공자의 사정에 의해 종료할 경우, 클라우드서비스 제공자는

다른 클라우드서비스 제공자로의 이전 등 대안을 마련할 것

금융회사는 클라우드서비스의 전환 및 종료 절차에 대한 모의훈련을 주기적

으로 실시할 것을 요구할 수 있음

FINANCIAL SECURITY INSTITUTE

4 책임관계 명확화

가.대외적 책임(금융소비자 피해 발생 시 손해배상 책임)

클라우드서비스 제공자의 관련 법령, 계약상 의무 위반 등으로 인해 금융

소비자에게 손해가 발생하는 경우에는 금융회사가 클라우드서비스 제공자와

연대하여 배상책임을 부담

l 클라우드서비스 제공자의 귀책사유로 금융회사가 금융소비자에게 손해를

배상한 경우에는 금융회사는 클라우드서비스 제공자에게 구상권을 행사

할 수 있음

나.계약 당사자간 책임관계(금융회사와 클라우드서비스 제공자간)

관련 법령 위반 등에 따른 손해배상 책임

l 전자금융거래법, 신용정보법, 개인정보보호법 등 관련 법령* 및 계약상

의무를 위반한 클라우드서비스 제공자의 귀책사유**로

- 금융회사 또는 금융회사의 고객에게 손해를 끼친 경우 금융회사는 이용

계약의 해제･해지 여부와 관계없이 클라우드서비스 제공자에게 손해

배상을 청구할 수 있음

* 「전자금융거래법」, 「신용정보의 이용 및 보호에 관한 법률」, 「금융기관의 업무위탁 등에

관한 규정」, 「금융회사의 정보처리 업무 위탁에 관한 규정」 등 금융 관련 법령, 「클라

우드컴퓨팅 발전 및 이용자 보호에 관한 법률」,「개인정보보호법」, 「정보통신망 이용촉진

및 정보보호 등에 관한 법률」 등

** 클라우드서비스 제공자가 전자금융거래 법령을 포함한 관계 법령 또는 이용 계약상의 의무를

미이행･위반한 경우에는 클라우드서비스 제공자의 고의 또는 과실이 있는 것으로 볼 수 있음

l 금융회사가 청구할 수 있는 손해배상에는 서비스 중단 및 자료 유출 등

으로 인한 직접적인 손해 외에 금융회사의 대외 신뢰도 저하에 따른 손해

등 간접적인 손해도 포함될 수 있음

l 양 당사자간 서비스 계약의 해제･해지와 관련된 절차･사항을 계약상에

포함하되,

72 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

- 관련 법령 위반, 반복적인 계약상 의무 불이행, 중요 계약사항의 위반

(감독당국의 조사･접근권 관련 의무 미이행 등) 등이 있는 경우 금융

회사가 위약금 없이 계약을 해제･해지할 수 있도록 명시

서비스 장애･중단 및 품질 수준 저하로 인한 손해배상 책임

l 클라우드서비스 제공자의 귀책사유로 이용기관이 서비스를 일시 이용하지

못하거나,

- 계약 당사자간 사전에 협의한 적절한 서비스 품질 수준을 유지･제공

하지 못한 경우 클라우드서비스 제공자는 금융회사에게 그 손해를

배상하여야 함

l 금융회사는 관련 법령 및 본 가이드에서 제시하는 내용을 바탕으로 클라

우드서비스 제공자와 사전 협의를 거쳐 적합한 서비스 수준 협약(SLA)*,

구체적 손해배상 규정** 등을 사전에 명확히 정하여야 함

- 불가항력으로 인한 사고 등에 대한 클라우드서비스 제공자의 면책사유･

범위 등을 명확히 할 것

* SLA(Service Level Agreement): 클라우드서비스 제공자가 금융회사 등 이용자에게

제공하는 서비스의 수준을 정량 기준 등을 통해 명확히 제시하고, 이에 미달하는 경우

손해를 배상토록 하여 서비스의 품질을 보장하기 위한 약정

** 클라우드서비스 제공자는 금융회사와 사전에 협의하여 정한 손해배상 규정에 따라 구체적인

손해를 산출하고, 금융회사에게 해당 손해액을 지급토록 함

재위탁 관련 손해배상 책임 등

l 클라우드서비스 제공자는 재위탁 관련 수탁자가 계약 내용을 준수하도록

관리･감독할 의무가 있음

- 재위탁 시 발생한 금융회사 등의 손해에 대해서는 원위탁자(클라우드

서비스 제공자)가 재위탁 받은 업체와 연대배상할 책임이 있음(재위탁

받은 업체의 고의･과실은 클라우드서비스 제공자의 고의･과실로 간주)

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

보고 및 이용

1.서류 구비 및 사전 보고

2.서류 최신성 유지 및 수시 보고

3.리스크 관리

FINANCIAL SECURITY INSTITUTE

제 장 보고 및 이용

1 서류 구비 및 사전 보고

금융회사는 제3장의 중요도 평가 결과와 무관하게 클라우드서비스 이용 전

다음 각 서류를 구비하여야 하고, 중요도 평가 결과 중요 업무의 경우, 클라우드

서비스를 실제로 이용하려는 날의 7영업일 이전에 금융감독원에 이를 보고하여야

한다.

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

③금융회사 또는 전자금융업자는 제1항제1호에 따라 다음 각 호의 어느 하나에 해당한다고 평가하는

1.경우에는 클라우드컴퓨팅서비스를 실제로 이용하려는 날의 7영업일 이전에 금융감독원장이 정하는 양식에

2.따라 제4항 각 호의 서류를 첨부하여 금융감독원장에게 보고하여야 한다. 이 경우 「금융회사의 정보처리

3.업무 위탁에 관한 규정」 제7조제1항 및 제2항에 따라 보고한 것으로 본다.

1.고유식별정보 또는 개인신용정보를 처리하는 경우

2.전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치는 경우

④제3항에 따라 금융감독원장에게 보고할 경우 첨부해야 하는 서류는 다음 각 호와 같다.

1.「금융회사의 정보처리 업무 위탁에 관한 규정」 제7조제1항 각 호에 관한 서류

2.제1항제1호에 따른 자체 중요도 평가 기준 및 결과

3.클라우드컴퓨팅서비스 이용 관련 업무 연속성 계획 및 안전성 확보조치에 관한 사항

4.제2항에 따른 정보보호위원회 심의･의결 결과

76 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

①업무 위탁 관련 서류

※ 「금융회사의 정보처리 업무 위탁에 관한 규정」 제7조제1항 각 호에 관한 서류

∙위탁계약서(안) 사본

∙「금융기관의 업무위탁 등에 관한 규정」 제3조의2에 따라 금융기관이

마련하고 준수하여야 할 ‘업무위수탁 운영기준’(제4장 참조)

∙업무위탁 계약이 위탁 규정 등 관련법령에 위배되지 아니한다는 준법

감시인(준법감시인이 없는 경우, 감사 등 이에 준하는 자)의 검토 의견

및 관련자료 사본

∙위탁의 필요성 및 기대효과

∙위탁에 따른 업무처리절차의 주요 변경내용

∙정보처리업무 운영에 대한 감독기관의 실질적 감독가능성을 확인할 수

있는 서류

∙위탁계약 상대방(재위탁 예정 시 재위탁계약 상대방 포함)에 관한 사항

(상호, 자본금 규모, 소재지, 주된 업종, 개인의 경우 대표자 인적사항 등)

∙전산사고 및 정보유출 등 발생 시 피해자 구제절차

②자체 중요도 평가 기준 및 결과(제3장 참조)

③업무 연속성 계획 및 안전성 확보조치에 관한 사항(제4장 참조)

④정보보호위원회 심의･의결 결과(제5장 참조)

FINANCIAL SECURITY INSTITUTE

2 서류 최신성 유지 및 수시 보고

가.서류 최신성 유지

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

⑤클라우드컴퓨팅서비스를 이용하는 금융회사 또는 전자금융업자는 제3항에 따른 보고의무와 관계없이

제4항 각호에 따른 서류를 최신상태로 유지하여야 하며, 금융감독원장의 요청이 있을 경우 이를 지체

없이 제공하여야 한다.

구비한 각 서류를 최신상태로 유지하고, 금융감독원장 요청 시 이를 지체

없이 제공할 것

※ 최신성 유지 및 요청 시 제공 의무는 중요도 평가 결과 및 사전 보고 여부와 관계없이

클라우드서비스를 이용하는 모든 금융회사가 부담하며, 고유식별정보･개인신용정보를 처리

하지 않는 경우에도 해당

나.수시 보고

▶ 감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차 등) 中

⑥금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 변경사항이 발생한 날로부터 7영업일

1.이내에 발생 사유, 관련 자료 및 대응계획을 첨부하여 금융감독원장에게 보고하여야 한다.

1.클라우드컴퓨팅서비스 제공자의 합병, 분할, 계약상 지위의 양도, 재위탁 등의 사유로 클라우드

컴퓨팅서비스 이용계약에 중대한 변경사항이 발생한 경우

2.클라우드컴퓨팅서비스 제공자가 서비스품질의 유지, 안전성 확보 등과 관련한 중요 계약사항을

이행하지 아니한 경우

3.제4항제2호 또는 제3호에 관한 중대한 변경사항이 발생한 경우

감독규정 제14조의2제3항에 따른 보고 대상 업무에 대해 다음 중 어느

하나에 해당하는 변경사항이 발생한 경우 7영업일 이내에 발생 사유,

관련 자료 및 대응 계획을 첨부하여 금융감독원장에게 보고할 것

l 클라우드서비스 제공자의 합병, 분할, 계약상 지위의 양도, 재위탁 등의

사유로 이용 계약에 중대한 변경 사항이 발생한 경우

78 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

l 클라우드서비스 제공자가 서비스품질의 유지, 안전성 확보 등과 관련한

중요 계약사항을 이행하지 않은 경우

l 중요도 평가, 업무 연속성 계획 및 안전성 확보조치에 중대한 변경 사항이

발생한 경우

주요국 금융권 지침 내 감독당국 보고 관련 부분

1.(EU-EBA) 클라우드 아웃소싱 관련 권고 – 4.2 감독관에게 즉시 통보할 의무

2) 금융회사는 클라우드 서비스 제공자에게 위탁하는 중요 활동에 대해 관할당국에 적절하게 알릴 수 있어야

한다. 금융회사는 CEBS 가이드라인 4.3 항에 근거하여 이를 수행해야하며, 어떤 일이 있어도 관할

당국에 다음 정보를 제공해야한다.

(a) 클라우드 서비스 제공자의 법인명과 모 회사명

(b) 위탁하는 업무 및 데이터에 대한 설명

(d) 서비스 개시일

(e) 최종 계약 갱신 일자(해당되는 경우)

(f) 계약을 규율하는 관련 법

(g) 서비스 만료일자 또는 차기 계약 갱신 일자(해당되는 경우)

3) 관할당국은 이전 단락에 따라 제공되는 정보에 더하여 위탁할 중요 활동에 대한 위험 분석에 대한 추가

정보를 금융회사에 요청할 수 있다.

(a) 클라우드 서비스 제공자가 금융회사에 제공하는 서비스에 적합한 비즈니스 연속성 계획을 가지고

있는지 여부

(b) 금융회사가 어느 당사자에 의한 종료 또는 클라우드 서비스 제공자에 의한 서비스 제공 중단의 경우

출구 전략을 가지고 있는지 여부

4) 금융회사는 기관 및 그룹 차원의 클라우드 서비스 제공자로 위탁한 모든 중요 및 비중요업무에 대한

최신 정보 등록을 유지해야한다. 금융회사는 클라우드 서비스 제공자에게 위탁한 활동이 해당 기관에

의해 중요한 것으로 평가되었는지 여부와 상관없이 해당 등록 기관에 기록된 위탁 계약 및 관련 정보의

사본을 관할 당국의 요청 시 제공해야한다.

5) 중요 업무 해당 여부와 관계없이 제공해야하는 정보

(a) 중요한 업무인 경우 통보해야하는 사항

(b) 클라우드 위탁 유형(클라우드 서비스 모델과 클라우드 구현 모델, 퍼블릭/프라이빗/하이브리드/커뮤

니티 클라우드)

(d) 경영진 또는 위임된 위원회가 업무 위탁을 승인한 증거

(e) 해당되는 경우 재위탁한(subcontractors) 모든 업체명

(f) 클라우드 제공자가 속한 국가

(g) 위탁 업무가 중요한 업무로 평가되었는지 여부

(h) 금융회사의 위탁 업무에 대한 최종 중요도 평가 일자

(i) 클라우드 제공자가 무중단(time critical) 비즈니스 운영을 지원하는 여부

FINANCIAL SECURITY INSTITUTE

(j) 클라우드 제공자의 대체 가능성 평가(쉬움, 어려움, 또는 불가능함)

(k) 가능한 경우 대체 서비스 제공자 식별

(l) 업무 위탁 또는 재위탁에 대한 최종 위험평가 일자

2.(영국-FCA) 클라우드 및 제3자 아웃소싱 관련 지침 – 3.7

기업은 중요한 위탁 계약을 체결하거나 주요 변경사항이 있을 때 이를 통보해야 할 의무가 있음을 기억해야

한다. (SUP 15.3.8G (1) (e) 및 SYSC 8.1.12G(보험 회사 이외의 회사와 관련)에서 설명하는 의무를

따른다. MiFID 조직 규정에 대한 리사이틀 44를 참고한다.)

3.(싱가포르-MAS) 아웃소싱 가이드라인 – 4. 아웃소싱과 관련한 MAS의 관여

4.1 가이드라인 준수

4.1.1 기관은 MAS에 자사에서 본 가이드라인을 준수하고 있음을 입증할 준비가 되어 있어야 한다. 여기

에는 적어도 1년에 한 번 또는 요청할 때마다 부칙 3에 명시된 템플릿에 자사 아웃소싱 등록부를 제출

하는 것도 포함된다.

4.1.2 MAS가 기관의 가이드라인 준수 실태에 만족하지 못하는 경우, MAS에서 해당 기관에 지적된 결

함을 시정하기 위해 추가 조치를 취할 것을 요구할 수 있다. 또한 MAS에서는 그와 같은 규정 위반을

기관 평가 시 감안할 수 있으며, 이 경우 아웃소싱이 기관 및 금융 시스템에 미치는 잠재적인 영향력,

지적된 결함의 심각성, 해당 기관의 내부 통제 및 리스크 관리 전적은 물론 해당 사안을 둘러싼 정황

등의 요인이 영향을 미칩니다. MAS에서는 기관의 국내 또는 소재국 규제 기관 및 기관의 서비스 제공

업체와 직접 소통하여 해당 기관의 아웃소싱 리스크를 관리하는 데 있어 MAS와 협조할 역량 및 자발

적인 의향 등을 알아볼 수 있다.

4.1.3 MAS에서는 다음과 같은 상황이 발생하는 경우 기관 측에 아웃소싱된 서비스를 변경, 대체할 다른

계약을 체결 또는 사내로 재통합하도록 요구할 수 있다.

(a) 기관이 아웃소싱 계약으로 인해 발생한 리스크의 특성과 정도를 만족스러운 수준으로 파악하고 있음을

입증하는 데 실패하거나 그럴 능력이 없는 경우

(b) 기관이 아웃소싱 계약으로 인해 발생하는 리스크를 해결할 적절한 수단을 만족스러운 수준으로,

적시에 실행하는 데 실패하거나 그럴 능력이 없는 경우

(d) MAS의 기관에 대한 감독관리 권한 및 해당 기관의 서비스에 관하여 MAS의 감독관리 역할을 수행

할 역량이 저해되는 경우 또는

(e) 서비스 제공업체의 관리 환경이 변동되어 그로 인해 기관의 고객 정보 보안 및 기밀성이 저하된

경우 등이다.

4.2 불리한 상황 전개 통보

4.2.1 기관은 아웃소싱 계약으로 인해 기관에 타격을 입힐 가능성이 있는 각종 불리한 상황 전개에 관해

가급적 빠른 시일 내로 MAS에 알려야 한다. 그러한 불리한 상황 전개에는 아웃소싱 계약의 장기간

서비스 이행 불가 또는 중단으로 이어질 가능성이 있는 각종 사건사고 또는 기관의 고객 정보 보안

및 기밀성 침해 사례 등이 포함된다. 또한 기관은 기관의 그룹 내에서 그와 같이 불리한 상황이 전개된

경우에도 MAS에 그 사실을 알려야 한다.

80 금융보안원

제1장 제2장 제3장 제4장 제5장 제6장 제7장 제8장 첨 부 부 록

3 리스크 관리

기 수립된 업무 연속성 계획(출구 전략 포함) 및 안전성 확보조치 방안을

준수하여 서비스 중단 및 보안 관련 리스크를 관리할 것

l 리스크 관리를 위해 필요 시 침해사고대응기관에 협조를 요청할 수 있음

수립된 업무 연속성 계획 및 안전성 확보조치 방안 이행 등 규제 준수를

위해 클라우드서비스 제공자에게 협조를 요구할 것

l 특히 금융당국의 조사･접근(현장방문 포함) 협조 의무, 통합보안관제･

취약점 분석평가･비상대응훈련 등의 수행을 위한 협조 의무 등을 명확히

할 것

l 다만, 불필요한 현장방문을 지양하고, 금융당국의 요구, 사고 발생, 제공자

평가 등 필요성이 있는 경우에 접근권을 행사하여야 함

클라우드서비스 제공자의 재위탁 현황을 관리하고, 재위탁 발생 및 변경

시 관련 보안리스크를 평가하고 관리할 것

특정 클라우드서비스 제공자에 서비스가 집중되지 않도록 관리하고, 특히

중요도가 높은 정보처리시스템에 대해서는 클라우드서비스 제공자에 대한

의존도가 과다하지 않도록 관리할 것

금융분야

클라우드컴퓨팅서비스

이용 가이드

제 장

이용 종료

FINANCIAL SECURITY INSTITUTE

제 장 이용 종료

금융회사는 클라우드서비스 제공자의 파산, 서비스 중단, 서비스 품질 저하,

규제 환경의 변화 또는 기타 금융회사의 필요에 따라 클라우드서비스를 전환

또는 종료할 경우 ｢제4장 계획 수립｣에서 수립한 출구 전략에 의거하여 데이터

이전 및 파기 등을 실시하여야 한다.

84 금융보안원

첨부

1.클라우드서비스 이용 관련

감독규정 주요 개정 내용

2.해외 금융권 클라우드서비스

규제 사례

3.전자금융감독규정 시행세칙의

망분리 대체 정보보호통제 수칙

4.클라우드서비스 이용 가이드

금융보안원의 다른 규정

(AGR-VII-2019-②-84)금융부문 암호기술 활용 가이드금융보안원 · 같은 발행기관의 규정 금융보안 거버넌스 가이드금융보안원 · 같은 발행기관의 규정 연구·개발 목적의 망분리 예외 적용에 따른 보안 해설서(변경)금융보안원 · 같은 발행기관의 규정 금융회사 재택근무 보안 안내서금융보안원 · 같은 발행기관의 규정 금융분야 클라우드컴퓨팅서비스 이용 가이드(2025 개정)금융보안원 · 같은 발행기관의 규정 2026년 전자금융기반시설 보안 취약점 평가기준 안내서금융보안원 · 같은 발행기관의 규정

이 법령의 자료

이 법령의 전체 조문에서 찾기 · 1개 펼치기

금융보안원 원문 대조

법적 효력은 발행기관의 공식 원문에 있으며 본 페이지는 참고 정보입니다.

fsec.or.kr 공식 원문 확인 →