|
금융IT |
“금융권, IT부문 ‘5%’룰 적용한다”금융위 ‘전자금융감독규정 전부개정규정안’ 공고 |
|
총 직원 5% IT 의무화…전체 IT 5% 보안 인력
IT부문을 두고 있는 금융회사는 앞으로 총 직원의 5% 이상을 정보기술부문 인력으로 의무 확보해야 한다. 아울러 전체 IT 인력 중 보안인력을 5% 이상 의무적으로 둬야 한다.
지난 2일 금융위원회는 이같은 내용을 골자로 하는 ‘전자금융감독규정 전부개정규정안’을 공고하고, 8월 22일까지 기관, 단체, 개인에게서 의견을 수렴할 예정이다.
지난 4월 농협, 현대캐피탈 등 해킹 사고 후 5~6월 전체 금융기관을 대상으로 긴급점검을 수행한 금융위원회는 전자금융 규정을 대폭 강화키로 했다.
◆전체 IT 예산 중 7%는 보안예산 = 우선 금융위는 개정안에서 ‘전자금융보조업자와 계약을 체결하고 정보처리시스템을 운영하는 사업자도 전자금융보조업자의 범위에 포함’시켜 규제의 사각지대를 제거했다.
전자금융 3조에 ‘전자금융보조업자’의 범위에 4항 ‘제1호 부터 제3호의 사업자와 제휴, 위탁 또는 외부주문(이하 ‘외부주문등’이라 한다)에 관한 계약을 체결하고 정보처리시스템을 운영하는 사업자’ 규정을 신설했다.
즉 금융기관과 계약을 체결한 장단기 아웃소싱 사업자를 규제 대상에 포함시킨 것이다.
다음으로 금융위는 제2절 인력, 조직 및 예산 부문의 제8조(인력, 조직 및 예산) 1항에서 금융기관 또는 전자금융업자는 ‘정보기술부문 인력은 총 임직원수의 100분의 5 이상, 정보보호인력은 정보기술부문 인력의 100분의 5 이상을 확보할 것’을 규정했다.
아울러 ▲정보처리시스템 및 전자금융업무 관련 전담 조직을 확보할 것 ▲외부주문 등에 관한 계약을 체결하는 때에는 계약내용의 적정성을 검토하고 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖출 것 ▲전산인력의 자질향상 및 예비요원 양성을 위한 교육 및 연수프로그램을 운영할 것 등 세부 내용도 마련됐다.
IT인력 및 정보보호 인력에 대한 기준은 별첨으로 규정했다.
특히 금융위는 전체 IT예산 중 정보보호 예산을 7% 이상 두도록 의무규정 했다.
정보보호 예산의 성격에 대해, 금융위는 별첨에서 인건비, 정보처리시스템 구입비 및 임차료, 정보처리시스템 유지보수비, 정보기술 서비스이용료, 정보기술 외주 용역비, 정보기술 컨설팅 비용, 정보기술 교육·훈련비, 통신회선 이용료 등이라고 밝혔다.
◆IT인력 보안준수 및 내부통제 명확화 = 이같이 규정된 인력 및 예산의 운영에 있어 금융위는 명확한 기준도 마련했다.
금융위는 ‘전자금융감독규정 전부개정규정안’ 제12~18조에서 ‘금융기관 또는 전자금융업자는 단말기, 전산자료, 정보처리시스템 등 전자적 장치에 대한 보안을 유지하고 해킹·악성코드 등 전자적 침해행위로부터 정보처리시스템 등을 보호하기 위한 방지대책을 수립·운용하여야 한다’고 밝혔다.
현행 감독규정시행세칙 사항을 감독규정에 반영한 조치다.
이에 따라 금융회사는 제12조(단말기 보호대책)에 따른 단말기 무단조작 금지 및 인가, 로그인 등 규정, 비밀번호 관리, 이동형 저장장치 규정, 접근제어 등 준수해야 한다.
아울러 금융회사는 제13조(전산자료 보호대책)에 따른 전산자료의 유출, 파괴 등 방지 노력(계정 관리 등), 책임자 지정, 전산자료 및 전산장비의 반출·반입 통제 등 규정을 마련, 시행해야 한다.
금융위는 제14조(정보처리시스템 보호대책) 규정을 신설해 ▲정보처리시스템에 대한 구동, 조작방법, 명령어 사용법, 운용순서, 장애조치 및 연락처 등 시스템 운영매뉴얼을 작성 ▲데이터베이스관리시스템(Database Management System : DBMS)·운영체제·웹프로그램 등 주요 프로그램에 대해 정기적으로 유지보수를 실시하고, 작업일, 작업내용, 작업결과 등을 기록한 유지보수관리 대장을 작성·보관 ▲정보처리시스템의 장애발생 시 장애일시, 장애내용 및 조치사항 등을 기록한 장애상황기록부를 상세하게 작성·보관 등 총 8가지 세부 규정도 마련했다.
덧붙여 금융위는 제15조(해킹 등 방지대책), 제16조(악성코드 감염 방지대책), 제17조(홈페이지 등 공개용 웹서버 관리대책), 제18조(IP주소 관리대책) 등도 마련해 금융회사가 시행토록 유도한다는 방침이다.
금융회사 스스로 노력하도록 유도하는 ‘정보기술부문 내부통제’ 실시안이 제19~33조에 걸쳐 마련됐다.
즉 금융기관 또는 전자금융업자가 매년 전자금융업무와 정보기술부문 계획을 수립·운영하고, 중요작업 이중확인·비밀번호 관리 등 내부통제방안을 마련·실시토록 하는 규정이다.
개정안에서는 전산운영위원회 설치 및 운용, 부서장 전결 금액 이상의 사업 추진 시 충분한 타당성 검토, 통합·전환·재개발 등과 같은 주요 추진사업에 대하여 비용 대비 효과분석, 계약․구매․납품․검수 등 내부 감사규정 마련 및 검수 등을 법제화했다.
또 금융위는 감리 기준(제22조 정보처리시스템 감리), 제23조(비상대책 등의 수립·운용), 제24조(비상대응훈련 실시), 제25조(정보처리시스템의 성능관리), 제26조(직무의 분리), 제27조(전산원장 통제), 제29조(프로그램 통제), 제30조(일괄작업에 대한 통제), 제31조(암호프로그램 및 키 관리 통제), 제32조(내부사용자 비밀번호 관리), 제33조(이용자 비밀번호 관리) 등을 신설했다.
◆IT 부실운영 금융사 ‘경영실태 감점’ = 금융위는 이같은 규정을 강제하기 위해 금융기관 경영실태평가에 의무적으로 IT부문 평가를 반영키로 했다.
제58조(금융기관의 정보기술부문 실태평가 등), 제60조(외부주문등에 대한 기준) 등에 대한 기준을 신설한 금융위는 금융회사가 외부주문 등 계약시 외부업자의 보안관련 규정 준수·손해배상책임을 계약내용에 반영토록 하는 등 감독을 강화할 방침이다.
◆감독기관 사전 보고체게 강화 = 이 밖에도 금융위는 제73조에 ‘전자금융거래 및 정보기술부문에 침해사고가 발생하거나 이용자가 금전적 피해를 입은 경우에는 금융위원회 및 금융감독원에 보고하도록 명확한 사고 보고체계를 구축’할 것이라고 밝혔다.
은행권 한 관계자는 “금융위 의견이 원안대로 통과될 가능성이 크다”며 “IT 예산 및 보안예산 규정, 위탁업무 등 아웃소싱 규정 강화 등이 특징”이라고 설명했다.
<김동기 기자>kdk@bikorea.net
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
