전자금융감독규정

전자금융감독규정은 금융회사·전자금융업자와 관련 검사대상 기관의 정보기술부문 안전성 확보를 위한 세부기준입니다. 이사회·경영진·정보보호최고책임자·IT부서·현업부서와 외주업체의 역할을 구분하고 중요 시스템·데이터·접근권한을 위험수준에 따라 관리해야 합니다.

• 적용되는 금융업·전자금융업과 시스템 범위 특정하기
• 정보보호·IT·현업·감사 책임을 문서화하기
• 중요정보·중요단말기·중요시스템을 분류하기
• 관리자·개발자·운영자 권한을 분리하기
• 권한변경·휴면·퇴직자 계정을 정기 점검하기
• 내부통제 예외의 승인·기간·보완조치를 기록하기

내부통신망과 연결된 내부 업무용시스템은 원칙적으로 인터넷 등 외부통신망과 분리·차단해야 합니다. 중요단말기는 외부반출·인터넷·그룹웨어 접속을 제한하고 악성코드 점검, 보조기억매체 접근통제와 사용자 인증·접속기록을 적용해야 합니다.

금융회사·전자금융업자는 침입차단·탐지 등 정보보호시스템을 설치·운영하고 긴급·중요 보안패치를 즉시 적용해야 합니다. 인증·암호화·취약점 분석·이상접속 탐지와 서버·네트워크·데이터베이스 보호조치를 위험도에 맞게 운영해야 합니다.

클라우드 이용 시 처리업무의 규모·복잡성·중요도를 평가하고 업무연속성·보안성, 제공자의 재무·기술·통제수준을 검토해야 합니다. 외주·클라우드 계약에는 감사·접근·자료보호·재위탁·사고통지·서비스 종료와 자료반환·폐기 기준을 포함하고 사업자가 지속적으로 관리·감독해야 합니다.

• IT·정보보호 조직도·규정·책임자·위원회 자료
• 시스템·네트워크·망분리·계정·접근권한 자료
• 보안패치·취약점·침해탐지·로그·단말기 자료
• 클라우드 중요도평가·계약·외주·재위탁 자료
• BCP·재해복구·훈련·사고보고·복구자료
• PG 가맹점 위험평가·수수료 고지·검사자료

전자금융감독규정 준수는 개발·보안부서만의 업무가 아닙니다. 상품·결제·고객센터·외주·클라우드·경영진 의사결정과 연결된 통합 내부통제로 운영해야 합니다.

• 최신 규정 기준으로 IT·정보보호 갭분석 실시하기
• 시스템·데이터·단말기·권한을 위험도별 분류하기
• 망분리 예외와 원격접속을 정기 재승인하기
• 클라우드·외주업체를 계약 전후 지속 점검하기
• 재해복구·비상대응 훈련을 연 1회 이상 실시하기
• PG 가맹점 위험평가·수수료 고지체계를 정비하기

사고 발생 후 시스템을 급하게 변경하면 원인과 책임을 입증할 로그가 훼손될 수 있습니다. 서비스 복구와 증거보전·기관보고·이용자 통지를 병행해야 합니다.

• 사고시각·영향범위·원인·복구조치를 기록하기
• 서버·네트워크·계정·접근·보안로그를 보전하기
• 법정 사고보고와 이용자·가맹점 통지를 검토하기
• 규정상 의무와 실제 운영의 차이를 분석하기
• 자체개선·재발방지·경영진 보고자료를 마련하기
• 금감원 검사·제재·손해배상·형사절차를 함께 대비하기