「전자금융감독규정시행세칙」일부개정안

Ⅰ. 개정 필요성

□「전자금융감독규정」개정에 따른 감독원장 위임사항 반영

Ⅱ. 주요 개정 내용

□ 주요 개정 내용

가. CISO 정보보안 점검항목(감독규정 37조의5 위임사항)

◦ 매월 보안점검의 날에 CISO가 점검해야 할 정보보안 점검항목 신설(제7조의3, 별표3-2)

나. 외부주문 등의 단계별 보안관리 방안(감독규정 60조 위임사항)

◦ 외부주문 등의 입찰․계약․수행․완료 등 각 단계별 보안관리방안 신설(제9조의2①, 별표5-2)

다. 외부주문 등의 보안점검 사항(감독규정 60조 위임사항)

◦ 외부주문 등의 일일 중요 점검사항 신설(제9조의2②, 별표5-3)

라. 전자금융사고 보고 절차 및 방법 개정(감독규정 73조 위임사항)

◦ 전자금융사고 보고 창구 일원화(금융위․금감원→금감원)에 따라 사고보고 절차‧방법 및 사고보고서 양식 개정(제12조, 별지 제2호 서식)

마. 기타

◦ 업무보고서 금액 기재 단위를 원으로 통일

□ 시행일 : ’15년 4월 16일부터 시행

□ 사전예고 : ’15.1.16.～’15.2.25. 기간 중 실시

◦ 사전예고 기간 중 외국계 금융회사 국내지점의 외부주문 단계별 보안관리방안 및 일일 중요 점검사항에 대해 의견이 접수되었으나 불수용

(개정안) 외부주문 등의 입찰‧계약‧수행‧완료 등 각 단계별 보안관리방안 및 일일점검 사항을 신설

(제출의견) 외국계 금융회사의 국내지점은 해외 본점을 강제하거나 통제하는 것이 곤란하므로 해외 본점으로부터 관련사항에 대한 확인을 받고 감독당국의 실질적 감독가능성이 확보되는 경우 예외 인정 필요

(검토의견 : 불수용) 제출의견은 외부주문 등에 대한 감독강화 취지에 부합하다고 보기 어렵고, 상위규정인 감독규정에서 시행세칙상 예외 인정을 위임하고 있지 아니함

* 미국 연방 금융회사 검사위원회(Federal Financial Institutions Examination Council)도 금융회사의 수탁회사에 대한 지속적 모니터링 실시 등 전산업무 위탁 관리를 강화(FFEIC, 전산업무위탁 관리강화를 위한 가이드라인)

□ 규제개혁위원회 심사 : 비규제심사대상 확인(’15.2.10.)

□ 시행세칙 개정내용 보고

◦ 시행세칙 개정내용을 금융위원회 위원장에게 보고 예정

* 금융감독원장은 규칙을 제정 또는 변경한 경우 금융위원회에 즉시 보고하여야 하며(｢금융위원회설치등에관한법률｣ §39②), 금융위원회는 동 사항을 위원장에게 위임(｢금융위원회운영규칙｣ §15 <별표>36)

(붙임1) 「전자금융감독규정시행세칙」일부 개정안

(붙임2) 「전자금융감독규정시행세칙」개정안 신･구조문 대비표

(참 고)  규제 심사대상 확인증

<붙임 1>

전자금융감독규정시행세칙 일부개정안

전자금융감독규정시행세칙 일부를 다음과 같이 개정한다.

제7조의3을 다음과 같이 신설한다.

제7조의3(정보보호최고책임자의 업무) 규정 제37조의5에 따라 감독원장이 정하는 정보보안 점검항목은 별표 3-2와 같다.

제9조의2를 다음과 같이 신설한다.

제9조의2(외부주문등에 대한 기준) ① 규정 제60조제1항제7호에 따라 감독원장이 정하는 보안관리방안은 별표 5-2와 같다.

② 규정 제60조제1항제14호에 따라 감독원장이 정하는 중요 점검사항은 별표 5-3과 같다.

제12조제2항제1호 중  “금융위원회의 정보보호공유센터(e-Finance Information Sharing & Analysis Center : FISAC), 감독원의 전자금융사고 대응시스템(Electronic Financial Accident Response System : EFARS)”을 “감독원의 전자금융사고 대응시스템(Electronic Financial Accident Response System : EFARS)”으로, “즉시 정보공유센터, 전자금융사고 대응시스템”을 “즉시 전자금융사고 대응시스템”으로 하며, 같은 조 제3항 및 제4항 중 “금융위원회 및 감독원장”을 각각 “감독원장”으로 한다.

별지 제1호 서식 업무보고서 양식 중 “대차대조표”, “손익계산서”, “전자금융업 영업실적 보고서”, “투자위험성이 낮은 자산 현황”, “전자금융사고 책임이행보험 가입(준비금 적립) 현황”, “정보기술 및 정보보호부문 예산현황”, “전자금융거래를 위한 외부주문 현황”, “경영지도기준 보고서”, “전자금융업무 수행 현황”의 금액 기재 단위를 각각 “천원”에서 “원”으로, “전자지급결제대행(PG) 이용현황”, “결제대금예치(Escrow) 현황”, “전자고지결제(EBPP) 현황”, “전자채권 등록 현황”의 금액 기재 단위를 각각 “백만원”에서 “원”으로 개정한다.

별지 제2호서식을 별첨과 같이 개정한다.

부칙

이 세칙은 2015.4.16.부터 시행한다.

<붙임 2>

신․구조문 대비표

현 행	개 정 안
<신 설>	제7조의3(정보보호최고책임자의 업무) 규정 제37조의5에 따라 감독원장이 정하는 정보보안 점검항목은 별표 3-2와 같다.
<신 설>	제9조의2(외부주문등에 대한 기준) ① 규정 제60조제1항제7호에 따라 감독원장이 정하는 보안관리방안은 별표 5-2와 같다. ② 규정 제60조제1항제14호에 따라 감독원장이 정하는 중요 점검사항은 별표 5-3과 같다.
제12조(정보기술부문 사고보고)	제12조(정보기술부문 사고보고)
① 금융회사 및 전자금융업자는 규정 제73조에 따른 정보기술부문 및 전자금융 사고가 발생한 경우 별지 제2호서식에 따라 즉시 보고하여야 한다.	① (현행과 같음)
② 제1항에 따른 사고보고는 최초보고, 중간보고 및 종결보고로 구분한다. 1. 최초보고 : 사고를 인지 또는 발견한 즉시 금융위원회의 정보보호공유센터(e-Finance Information Sharing & Analysis Center : FISAC), 감독원의 전자금융사고 대응시스템(Electronic Financial Accident Response System : EFARS), 서면, 팩시밀리 또는 전화로 보고하되, 전화로 보고한 경우에는 즉시 정보보호공유센터, 전자금융사고 대응시스템, 서면 또는 팩시밀리로 보고한다.	② 제1항에 따른 사고보고는 최초보고, 중간보고 및 종결보고로 구분한다 1. 최초보고 : 사고를 인지 또는 발견한 즉시 감독원의 전자금융사고 대응시스템(Electronic Financial Accident Response System : EFARS), 서면, 팩시밀리 또는 전화로 보고하되, 전화로 보고한 경우에는 즉시 전자금융사고 대응시스템, 서면 또는 팩시밀리로 보고한다.
2~3. (생략)	2~3. (현행과 같음)
③ 금융위원회 및 감독원장은 금융회사 및 전자금융업자 정보기술부문의 사고보고 등을 전담할 비상연락 담당자를 회사별로 지정할 수 있다.	③ 감독원장은 금융회사 및 전자금융업자 정보기술부문의 사고보고 등을 전담할 비상연락 담당자를 회사별로 지정할 수 있다.
④ 금융회사 및 전자금융업자는 비상연락 담당자가 제3항에 따라 지정되거나 변경된 경우에는 제2항제1호에서 정한 보고방법에 따라 금융위원회 및 감독원장에게 즉시 보고하여야 한다.	④ 금융회사 및 전자금융업자는 비상연락 담당자가 제3항에 따라 지정되거나 변경된 경우에는 제2항제1호에서 정한 보고방법에 따라 감독원장에게 즉시 보고하여야 한다.

<별표 3-2> 정보보안 점검항목 <신설>

	점검항목
전산실	상시출입자외 출입자에 대한 책임자 승인 및 출입자관리기록부 기록‧보관 여부
	무인감시카메라 또는 출입자동기록시스템 등의 정상 작동 여부
단말기	업무담당자 이외의 단말기 무단조작 금지 조치 여부
	정보처리시스템 접속 단말기의 정당한 사용자인가를 확인할 수 있는 기록 유지 여부
	중요 단말기의 외부 반출 금지 여부
	중요 단말기의 인터넷 접속 금지 여부
	중요 단말기의 그룹웨어 접속 금지 여부
	단말기에서 보조기억매체 및 휴대용 전산장비 접근 통제 여부
전산자료	개인별 사용자계정과 비밀번호 부여 여부
	사용자계정과 비밀번호 등록․변경․폐기의 체계적 관리 여부
	이용자 정보 조회․출력 통제 여부
	테스트시 이용자 정보 사용 금지 및 불가피한 경우 이용자정보를 변환하여 사용하고 테스트 종료 즉시 삭제 여부
	단말기에 이용자 정보 등 주요정보 보관을 금지하고 불가피한 경우 책임자의 승인을 받고 있는지 여부
	단말기 공유 금지 여부
	전산자료 및 전산장비의 반출‧반입 통제 여부
	사용자 인사 조치시 지체 없이 해당 사용자계정 삭제, 계정 사용 중지, 공동 사용 계정 변경 등 정보처리시스템 접근을 통제하고 있는지 여부
정보처리시스템	내부통신망의 비인가 전산장비‧무선통신 접속 통제 여부
해킹 등 방지대책	해킹 등을 방지하기 위한 정보보호시스템의 정상 작동 여부
	정보보호시스템에 최소한의 서비스번호와 기능만을 적용하고 있는지 여부
	정보보호시스템에 업무목적이외 기능 및 프로그램 제거 여부
	정보보호시스템의 원격관리 금지 여부
	시스템프로그램 등 긴급하고 중요한 보정사항에 대한 즉시 보정작업 실시 여부
	무선통신망 이용 업무에 대한 승인 및 사전 지정 여부
악성코드	악성코드 검색 및 치료프로그램의 최신상태 유지 여부
	중요 단말기의 악성코드 감염여부를 매일 점검하고 있는지 여부
공개용 웹서버	사용자계정에 아이디‧비밀번호 이외 추가 인증수단 적용 여부
	DMZ구간 내 이용자 정보 등 주요정보를 저장, 관리하지 않는지 여부
내부사용자 비밀번호	접근자 비밀번호 설정‧운영 여부
	비밀번호 보관시 암호화 여부
이용자 비밀번호 관리	정보처리시스템 및 전산자료에 보관하고 있는 이용자 비밀번호 암호화 보관 여부
이용자 유의사항	비밀번호 유출위험 및 관리에 관한 사항의 공지 여부
	제공하고 있는 이용자보호 제도에 관한 사항의 공지 여부
	해킹․피싱 등 전자적 침해방지에 관한 사항의 공지 여부
전자금융 사고보고	전자적 침해행위에 대한 보고 및 조치 여부

<별표 5-2> 보안관리방안 <신설>

단계	세부사항
입찰	ㅇ 입찰 공고 이전에 투입이 예상되는 자료․장비 가운데 보안관리가 필요한 사항에 대하여 금융회사또는 전자금융업자의 내부관리기준과 관련 법규를 검토하고 필요한 보안요구 사항을 마련 ㅇ 입찰 공고시에 금융회사 또는 전자금융업자가 자체 작성한 중요정보, 부정당업자 제재조치, 기밀유지 의무 및 위반시 불이익 등을 정확히 공지 ㅇ 제안서 평가요소에 자료․장비․네트워크 보안대책 및 중요정보 관리 방안 등 보안관리 계획의 평가항목 및 배점기준 마련 ㅇ 업체가 입찰제안서에 제시한 용역사업 전반에 대한 보안관리 계획이 타당한지를 검토하여 사업자 선정시에 이를 반영
계약	ㅇ 계약서 작성 초기 단계부터 정보보안사항 포함여부에 대한 검토 실시 ㅇ 용역사업에 투입되는 자료‧장비 등에 대해 대외보안이 필요한 경우 보안의 범위‧책임을 명확히 하기 위해 사업수행 계약서와 별도로 비밀유지계약서 작성 ㅇ 비밀유지계약서에는 비밀정보의 범위, 보안준수 사항, 위반시 손해배상 책임, 지적재산권 문제, 자료의 반환 등이 포함되도록 명시 ㅇ 용역사업 참여인원은 금융회사 또는 전자금융업자의 사전 동의 없이 용역업체가 임의로 교체할 수 없도록 명시 ㅇ 금융회사 또는 전자금융업자의 요구사항을 사업자에게 명확히 전달키 위하여 작성하는 과업지시서․계약서(입찰 공고 포함)에 인원․장비․자료 등에 대한 보안조치 사항과 정보유출 및 부정당업자에 대한 손해배상 내용 등을 정확히 기술 ㅇ 용역업체가 사업에 대한 하도급 계약을 체결할 경우 원래 사업계약 수준의 비밀 유지 조항을 포함토록 조치 ㅇ 규정 제7조 각호에 규정한 사항
수행	[인력] ㅇ 용역사업 참여인원에 대해서는 ‘정보 유출’ 방지 조항 및 개인의 자필 서명이 들어간 보안서약서 징구 ㅇ 용역사업 수행前 참여인원에 대해 법적 또는 금융회사 또는 전자금융업자의 규정에 따른 비밀유지 의무 준수 및 위반시 처벌내용 등에 대한 보안교육 실시 * 유출 금지 대상정보 및 정보 유출시 부정당업자 제재조치 등에 대한 교육 병행 ㅇ 금융회사 또는 전자금융업자는 사업 수행 중 업체 인력에 대한 보안점검 실시, ‘유출금지 대상 정보’ 외부 유출여부 확인 [자료] ㅇ 계약서 등에 명시한 중요정보를 업체에 제공할 경우 자료관리 대장을 작성, 인계자․인수자가 직접 서명한 후 제공하고 사업완료시 관련자료 회수 ㅇ 용역사업 관련자료 및 사업과정에서 생산된 모든 산출물은 금융회사 또는 전자금융업자의 파일 서버에 저장하거나 금융회사 또는 전자금융업자가 지정한 PC에 저장․관리 ㅇ 용역사업 관련 자료는 인터넷 웹하드․P2P 등 인터넷 자료공유사이트 및 개인메일함에 저장을 금지하고 금융회사 또는 전자금융업자와 용역업체간 전자우편을 이용해 전송이 필요한 경우에는 자체 전자우편을 이용하고, 첨부자료 중 중요정보 포함자료는 암호화 후 수발신 ㅇ 금융회사 또는 전자금융업자가 제공한 사무실에서 업체가 용역사업을 수행할 경우, 유출금지 대상 정보가 포함된 자료는 매일 퇴근시 시건장치가 된 보관함에 보관 ㅇ 용역사업 수행으로 생산되는 산출물 및 기록은 금융회사 또는 전자금융업자가 인가하지 않은 비인가자에게 제공․대여․열람을 금지 [사무실․장비] ㅇ 용역사업 수행장소는 금융회사 또는 전자금융업자 전산실 등 중요시설과 분리하고 CCTV‧시건장치 등 비인가자의 출입통제 대책을 마련 ㅇ 용역업무를 수행하는 공간에 대한 보안점검을 정기적으로 실시 ㅇ 용역직원이 노트북 등 관련 장비를 외부에서 반입하여 내부망에 접속시 악성코드 감염여부 및 반출시마다 자료 무단반출 여부 확인 ㅇ 인가받지 않은 USB메모리 등의 휴대용 저장매체 사용을 금지하며 산출물 저장을 위하여 휴대용 저장매체가 필요한 경우 금융회사 또는 전자금융업자의 승인하에 사용 [내․외부망 접근시] ㅇ 금융회사 또는 전자금융업자는 개발시스템과 운영시스템을 분리하고, 용역업체는 업무상 필요한 서버에만 제한적 접근 허용 ㅇ 용역사업 수행시 금융회사 또는 전자금융업자 전산망 이용이 필요한 경우 –사업 참여인원에 대한 사용자계정(ID)은 하나의 그룹으로 등록하고 계정별로 정보시스템 접근권한을 차등 부여하되 허용되지 않은 금융회사 또는 전자금융업자의 내부문서 접근 금지 –계정별로 부여된 접속권한은 불필요시 즉시 해지하거나 계정을 폐기 –참여인원에게 부여한 계정은 별도로 기록 관리하고 수시로 해당 계정에 접속하여 저장된 자료와 작업이력 확인 –금융회사 또는 전자금융업자는 내부서버 및 네트워크 장비에 대한 접근기록 이상 여부를 정기 점검 ㅇ 용역업체에서 사용하는 PC는 인터넷 연결을 금지하되, 사업수행상 연결이 필요한 경우에는 금융회사 또는 전자금융업자의 보안통제하에 제한적 허용 ㅇ 용역업체 사용 전산망에서 P2P, 웹하드 등 인터넷 자료공유사이트로의 접속을 원천 차단
완료	ㅇ 사업 완료 후 생산되는 최종 산출물 등 대외보안이 요구되는 자료는 대외비 이상으로 작성․관리하고 불필요한 자료는 삭제 및 폐기 ㅇ 용역업체에 제공한 자료, 장비와 중간․최종 산출물 등 용역과 관련된 제반자료는 전량 회수하고 업체에 복사본 등 별도 보관 금지 ㅇ 용역사업 완료 후 업체 소유 PC․서버의 하드디스크․휴대용 저장매체 등 전자기록 저장매체는 복원이 불가능한 방법으로 완전 삭제 후 반출 ㅇ 용역사업 관련자료 회수 및 삭제조치 후 업체에게 복사본 등 용역사업관련 자료를 보유하고 있지 않다는 대표자 명의의 확약서 징구

<별표 5-3> 중요 점검사항 <신설>

	점검 항목
1	이용자 정보의 조회‧출력에 대한 통제 및 이용자 정보 조회시 사용자, 사용일시, 변경‧조회내역, 접속방법 기록‧관리
2	테스트시 이용자 정보 사용금지(부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제)
3	운영시스템 접속·사용 통제
4	내부통신망의 비인가 전산장비·무선통신 접속 통제
5	전산자료 및 전산장비 반출‧반입 통제
6	전산실 등 출입자 관리기록부 기록‧보관
7	인터넷(무선통신망 포함) 사용 통제
8	업무담당자 이외의 사람이 단말기를 무단으로 조작하지 못하도록 조치
9	운영체제 및 악성코드 치료프로그램을 최신으로 유지
10	USB 등 보조기억매체 사용 통제
11	단말기에 이용자 정보 등 중요정보 보관 금지
12	정보처리시스템 개발업무에 사용되는 업무장소 및 전산설비를 내부 업무용과 분리하여 설치‧운영하고 비인가자 출입 통제

<별첨>

<별지 제2호 서식>

작 성 자 :      (직 위)

전화번호 :

정보기술부문 및 전자금융 사고보고서

문서번호                                          20  .  .  .

수    신

참    조

제    목   정보기술부문 및 전자금융 사고보고

전자금융감독규정 제73조에 따라 붙임과 같이 사고를 보고합니다.

붙    임   사고내용 1부.  끝.

○ ○ 금융회사  사장  (인)

(별첨)

<별지 제2호 서식>

정보기술부문 및 전자금융 사고내용

보고형태	□ 최초 □ 중간 □ 완료
최초 인지	□ 금융회사 □ 고객(민원인) □ 기타: ( )
사고인지일시
발생일시 및 지속시간
발생 장소
피해자 정보 및 피해금액 (전자금융사기사고 보고에 한함)	피해자 성명		생년월일		피해금액
사고유형	IT보안사고		정보기술장애		전자금융사기사고
	□ 전산자료/프로그램조작 □ 정보유출사고 □ 내부망 해킹 □ 시스템 위변조 □ DDoS 공격 □ 원인미정(파악중)		□ 천재지변에 의한 장애 □ 시스템/설비 장애 □ 프로그램 오류 □ 인적 재해 □ 외부요인으로 인한 장애 □ 원인미정(파악중)		□ 피싱/파밍(인터넷) □ 피싱/파밍(모바일) □ 피싱/파밍(텔레뱅킹) □ 전자상거래 위변조 □ 매체위변조 □ 신종 전자금융사기사고 □ 원인미정(파악중)
사고내용
사고원인
파급영향
처리결과
대 책
<선택 입력사항>	금융회사 공격자의 정보 제공
공격 유형	□ DDoS □ 파밍악성코드 □ C&C서버 □ 기타
공격방법
공격자IP
공격자 MAC
Domain정보
상세내용

<참고>

규제심사대상 확인

		접수번호 :	308호
		제 목 :	전자금융감독규정시행세칙
	위의 전자금융감독규정시행세칙을(를) 검토한 결과 행정규제기본법 제10조에 따른 규제심사대상이 없음을 확인함.
2015. 02. 10.

규제개혁위원회 위원장