|
금융IT |
‘전자금융감독규정 개정안’ 본격 시행금융위 “IT인력 및 예산기준 등 강화” |
|
CEO의 연간 IT계획 의무화 규정 연계
산고의 진통을 거듭한 금융위 ‘전자금융감독규정 전부규정 개정안’이 본격 시행된다.
10일 금융위원회(위원장 김석동)는 관련 규정의 개정을 고시하고, 본격 시행에 나선다고 밝혔다.
IT인력의 업무범위에 대한 세부기준은 오는 10월 19일 마련되는 모범규준에 반영한다.
금융IT 업계에서는 이번 전자금융감독규정이 ▲금융회사 감독규정 위반시 인터넷 공지 의무화 ▲경영실태평가 적극 반영 ▲전자금융거래법의 CEO 연간 IT계획 확인·제출 의무화 ▲금융회사의 취약점 분석의무화 등과 맞물려 유례없는 강력한 조치가 될 것으로 보고 있다.
다만, ‘금융지주회사의 전산자회사 직원을 IT인력으로 추가 인정’한 대목이 명쾌하지 않다는 점에서 지속적인 논란이 예상된다. <표 ‘전자금융감독규정 개정 입법 예고 후 변경 내용’ 참조>
| |
 |
|
| ▲ 표 '전자금융감독규정 개정 입법 예고 후 변경' 내용 |
<BI코리아>는 사실상 내년 1월부터 적용되는 ‘전자금융감독규정 개정안’을 세부적으로 분석해 봤다.
◆제8조 ‘정보기술 및 보안 분야 관련 인프라 확보’ = 금융위원회는 이번 개정안을 통해 ‘금융회사의 정보기술 분야 인력 및 예산 관련 운영 가이드 라인’을 제시했다.
당초 2013년 시행 예정이었다가 규개위 심의 과정에서 ‘규정 시행 후 곧바로 이행’으로 바뀐 IT인력 비율은 총 임직원수의 5% 이상으로 하고, 외주인력 비율은 총 IT인력의 최대 50%를 넘을 수 없도록 명시했다. (제8조 제2항)
정보보호 예산 가이드라인도 마련돼, 금융회사는 연간 총 IT예산의 7% 이상을 정보보호 예산으로 확보해야 한다.
금융위는 그러나 ‘IT 외부인력은 내부인력 범위내’ 규정을 완화, 금융지주회사의 전산자회사 직원도 내부 IT인력으로 추가 인정했다.
이어 금융위는 권고기준을 이행하지 않을 경우 그 사유 및 이용자보호에 미치는 영향 등을 설명한 자료를 홈페이지에 공시(제8조 제3항) 하도록 했다.
금융위는 금융회사에 준비기간을 주기 위해 다음 사업연도부터 기준 시행(부칙 제1조) 하도록 강화했다.
◆정보기술 부문에 대한 보안준수 기준 명확화(제12~18조) = 10일 시행된 전자금융감독규정 개정안은 현행 감독규정 시행세칙 중 정보기술 보안 준수 부문을 감독규정으로 상향한 것이 특징이다.
우선, 단말기에 대한 보호정책 정교화 및 내부통제가 강화된다.
단말기 비밀번호 체계를 6자리에서 특수문자를 포함한 8자리로 강화했다. 금융위는 이어 단말기에 대한 사용기록, 접근제어, 무선차단, 보조기억장치 사용통제 등 보호대책을 수립토록 했다.
외부반출금지, 업무 전용단말기 지정 및 사용, 사전 지정 용도외 사용금지, 노트북 등 휴대용 전산장비 사용금지 등 내용을 금융위는 이번 개정안에 포함해 시행한다.
덧붙여 금융위는 업무용 단말기 및 시스템용 단말기에 대한 악성코드 감염여부를 매일 점검토록 했다.
다음으로, 금융위는 정보처리시스템 및 네트워크에 대한 백업, 보호정책을 강화했다. 정보처리시스템의 운영 체계 및 설정 내용을 정기적으로 백업, 원격소산하고 1년 이상 기록, 관리토록 했다.
매년 정보처리시스템 및 정보통신망(공개용 웹서버는 6개월)에 대한 취약점 분석 및 이행계획을 수립해 시행토록 금융위는 감독할 예정이다.
무선통신망 이용 최소화 및 차단시스템 구축, 실시간 모니터링 체계 마련 등 무선통신망 보호대책을 신설한 것도 이번 개정안의 특징이다.
마지막으로, 금융위는 개정안에서 주요 정보에 대한 보호대책 및 이용통제를 강화했다.
이용자 정보는 부하테스트 등 불가피한 경우만 변환해 사용하고 테스트 종료 후 즉시 삭제해야 한다. 또 DMZ(Demilitarized Zone) 구간에는 암호화된 거래로그 이외의 이용자 정보 등 주요 정보를 저장, 관리할 수 없도록 감독규정이 강화됐다.
◆정보기술 부문 내부통제 실시(제19조~33조) = 금융위는 이어 정보기술 통제 부분을 시행세칙에서 ‘감독규정’으로 상향했다.
기존 최고경영자 보고사항이던 정보기술부문 연간 계획을 대표자에게 확인 및 서명을 받도록 했으며, 전산화 사업 타당성 검토 및 비용-효과분석 대상을 부서장 전결 이상 사업으로 명확화 했다.
정보처리시스템 구축 및 전자금융 거래와 관련된 외주업체 선정 절차 및 기준에 정보보안 관련사항이 반영되도록 규정이 강화됐으며, 정보처리시스템 감리지침에 전자금융업무와 관련된 외주주문 감리기준이 반영됐다.
이번 개정안은 또 위기 대응 매뉴얼 제정 및 연1회 실시되는 비상대응훈련 결과를 금융위에 통지토록 의무화했고, 내부-외주, 정보기술부문-정보보호인력에 대한 직무분리 기준이 추가됐다.
정보처리시스템 중요작업, 마스터관리자 및 일괄작업 수행자의 작업내용에 대한 책임자의 이중확인 및 모니터링 의무규정이 이번 개정안에 신설됐고, 시스템 접속 오류 및 내부사용자-이용자 비밀번호 입력오류 제한을 일정횟수에서 5회로 명확화했다.
◆전자금융업무에 대한 감독 강화(제58조, 제60조) = 금융위의 이번 조치가 강력하다는 점은, 경영실태평가에 정보기술부문 실태평가가 의무적으로 반영됐다는 점이다.
‘전자금융감독규정 개정안’에는 정보기술 부문 실태평가를 경영실태 평가 항목 중 경영관리 또는 위험관리 중에서 20% 이상 반영하도록 했다.
아울러 정보기술 부문 실태평가 결과가 4등급 이하인 경우에는 경영실태평가 2등급 이상으로 평가할 수 없도록 강제규정을 마련했다.
이는 ‘전산사고’ 발생시, 경영진 및 기관에 대해 적극적으로 책임을 묻겠다는 것이다.
특히 정보기술 부문 실태평가가 4등급인 경우, 확약서 제출, 5등급이거나 직전 대비 2등급 하락한 경우 ‘양해각서 체결’도 의무화했다.
2011년 전자금융 감독규정은 ‘전자금융 외주업체’ 관리 기준을 크게 강화한 것이 특징이다.
손해배상 책임, 정보보안 관련 규정 준수, 비밀유지, 은행 허락없는 하도급 및 업체변경 금지 등을 계약서에 추가하도록 의무화했다.
금융회사는 외부업체와 통신연결은 전용회선으로만 연결하도록 제한했고, 외주인력에 대한 신원조회, 신원보증서 징구, 인력교체시 인수인계 등을 실시하도록 관리방안을 수립해야 한다.
이 밖에도 금융회사는 전자금융업자에 대한 재무건전성 및 서비스 품질을 연 1회 이상 평가하고, 그 결과를 금융감독원장에게 보고해야 한다.
◆전자적 침해사고의 보고체계 명확화(제73조) = 이번 전자금융감독규정 개정안은 IT사고 관련 보고기관을 추가, 확대, 징계 규정을 신설했다.
전산사고시 금융회사는 금융감독원 뿐만 아니라 금융위원회에도 보고토록 추가했고, 전산의 중단-지연, 전산조작 및 정보보안 사고 외에도 고객이 금전적 피해를 통지한 경우도 보고토록 강화했다.
마지막으로 전산사고 보고를 고의로 지연하거나 숨길 경우 징계가 가능하도록 명문화했다.
<김동기 기자>kdk@bikorea.net
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
