20111103 전자금융감독규정 개정규정의 해석상 쟁점

전자금융 관련 법률 현황과 주요 이슈 2011. 11. 3 . 구 태 언 변호사 [email_address] 행복마루 법률사무소

[object Object],[object Object]

전자금융 관련 규정과 금융기관의 책임 PART 1

주요 전자금융 관련 법령 요약 전자금융거래법 전자금융감독규정 및 시행세칙 정보통신망 이용촉진 및 정보 보호에 관한 법률 신용정보의 이용 및 보호에 관한 법률 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],주요법령 개인정보보호법 ,[object Object],[object Object],[object Object],금융실명거래 및 비밀보장에 관한 법률 ,[object Object],자본시장과 금융투자업에 관한 법률 ,[object Object],NOTES

금융기관 의무와 책임 전자금융거래법 보안시스템을 통한 접근통제 의무 금융 IT 침해사고 예방ㆍ대응체계 강화 의무 고객정보 유출방지 의무 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],위반시 금융관련법령 위반에 기한 기관 및 관련 임직원 제재 대고객 손해배상책임의 근거인 금융기관의 과실책임 간주

금융기관 의무와 책임 개인정보보호법 / 정보통신망법 보안시스템을 통한 접근통제 의무 개인정보의 암호화 고객정보 유출방지 의무 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],기술적․관리적 안전성 확보 조치 미이행으로 인한 누출 등 의무소홀의 경우 2 년이하 징역 또는 1 천만원 이하 벌금 및 과징금 / 과태료 처분

금융기관 의무와 책임 개인정보 관련 법령 비교 신용정보법 신용 정보제공ㆍ이용자 ( 고객 및 직원의 ) 신용정보 민감정보 수집금지 개인식별정보 이용 · 제공 동의 X X X 원칙적 동의 필요 신용정보관리ㆍ보호인 정보통신망법 정보통신서비스제공자 및 준용사업자 고객정보 민감정보 수집 동의 X 침해사고의 신고 사전고지 및 동의 , 보호조치 원칙적 동의 필요 개인정보 관리책임자 개인정보보호법 개인정보처리자 ( 업무상 개인정보 취급자 ) 고객정보 + 직원정보 민감정보 및 고유식별정보 처리 동의 CCTV 설치ㆍ운영상의 제한 정보주체 통지 및 정부 신고의무 사전고지 및 동의 동의 불요 ( 단 , 공개의무 및 고지의무 있음 ) 개인정보 보호책임자 수범자 대상정보 민감정보 및 고유식별정보 CCTV 운영 처리 등의 위탁 국외이전 개인정보보호 책임자 정보유출 통지 및 신고

관련 규정 위반시 기관 및 CEO 등 임직원 엄중 문책 예고 금융 IT 보안기준 및 사고 후 책임에 관한 감독법규 규제를 상향 예정 ,[object Object],[object Object],[object Object],[object Object],관련 법령 및 감독규정에 위반되는지 여부에 대해 많은 논란 예상 금융감독당국의 대응 I III II IV

2008 년 정보통신망법  기술적 , 물리적 , 관리적 보호대책 ( 방통위 고시 ) 불이행으로 인한 정보유출의 경우 2 년 이하 징역 또는 1 천만원 이하 벌금 / 양벌규정 금융기관의 경우 , 입건 후 처벌사례 없으나 최근 환경 크게 변화 주요 관리소홀점  고객정보 비암호화 , 접근통제 불철저 , 알려진 취약점 미대응 등 경찰 사이버수사대 / 검찰 첨단범죄수사부 관심 증대  피해 금융기관의 과실점에 대해 정보통신망법위반죄로 입건 여부 적극 검토 중 사법당국의 대응 I III II IV

금융감독법령위반 임직원 및 기관제재 고객 이탈로 인한 경영 악화 정보유출에 대한형사 책임 ( 개인정보보호법 , 정통망법 위반 ) 정보유출로 인한 손해배상 고객정보 유출시 금융기관의 리스크 경영상 위 험 01 02 04 03

개인정보보호법 , 정보통신망법과 해석상 조화 PART 3

[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],개인정보보호법에서 규정하고 있는 제재의 심각성에 따라 우선 순위 선정 개인정보보호법과 관련한 투자 우선 순위 기준 착안사항 관련 기관 동향 우선 순위 기준

전자금융 감독규정 개정안의 해석상 쟁점 PART 3

비밀번호 생성 규칙 전자금융은 정통망법이 함께 적용되며 , 고시 위반으로 인한 개인정보 유출시 형사처벌규정이 적용되므로 , 보호 수준이 방통위 고시와 일치하도록 명확히 규정할 필요 ,[object Object],[object Object],[object Object],제 12 조 ( 단말기 보호대책 ) 제 3 호 " 비밀번호는 생년월일 , 주민등록번호 , 전화번호를 포함하지 않는 숫자와 영문자 및 특수문자 등을 혼합하여 8 자리 이상으로 설정하고 분기별 1 회 이상 변경할 것 " 개정안 이 슈 의 견

접근허가 대상을 ‘ 인가된 보조기억매체’로 바꾸고 , 인가된 보조기억매체라 할지라도 업무와 무관한 정보를 저장하는 행위를 통제하는 것으로 내용을 수정 ,[object Object],제 1 2 조 ( 단말기 보호대책 ) 제 6 호 “금융기관 또는 전자금융업자는 사용자가 단말기에서 업무와 무관한 정보가 저장된 보조기억매체에 접근하는 것을 통제할 것” 보조기억매체의 통제 개정안 이 슈 의 견

단말기에 이용자 정보 저장시 통제 행안부 / 방통위 고시와 일치되도록 규정할 필요 기술적 보호조치에 관한 방통위 고시 , 안전성 확보에 관한 행안부 고시는 단말기에 개인정보를 저장할 경우에 암호화 하도록 되어 있으나 , 전자금융감독 규정에는 동등한 규정이 없이 책임자의 승인만을 요구하고 있음 제 13 조 ( 전산자료 보호대책 ) 제 1 항 제 13 호 “단말기에 이용자 정보 등 주요 정보를 보관하지 아니하고 , 단말기를 공유하지 아니할 것 ( 다만 , 불가피하게 단말기에 보관할 필요가 있는 경우 보관사유 , 보관기간 및 관리 비밀번호 등을 정하여 책임자의 승인을 받아야 한다” 개정안 이 슈 의 견

가동 기록의 저장 내용 ‘ 자료의 내용’은 사용한 자료의 데이터베이스 필드값으로 제한하여 해석 가동 기록에 기록할 내용에 ‘자료의 내용’이 포함되어 있어 이 규정대로 가동 기록을 이행할 경우에 가동 기록 자체에 방대한 이용자 정보 ( 전자금융 거래 자료 ) 가 기록될 우려 cf. WAS 서버에 기록된 전문 기록이 해커에 의해 유출된 사례 제 13 조 ( 전산자료 보호대책 ) 제 4 항 정보처리시스템 가동 기록의 자동 기록 , 유지 “ 2. 전산자료를 사용한 일시 , 사용자 및 자료의 내용을 확인할 수 있는 접근 기록” 개정안 이 슈 의 견

정보처리시스템의 모니터링 시스템 모니터링 시스템이 처리할 시스템 자원 상태에 대해 구체적으로 규정할 필요 모니터링 시스템이 감시할 ‘시스템 자원’의 내용이 특정되어 있지 않아 혼선을 빚을 가능성 제 14 조 ( 정보처리시스템 보호대책 ) 제 4 호 “정보처리시스템의 정상작동 여부 확인할 위하여 시스템 자원상태의 감시 , 경고 및 제어가 가능한 모니터링 시스템을 갖출 것” 개정안 이 슈 의 견

정보처리시스템 접속 단말기의 외부 인터넷망 접근 통제 정보처리시스템에 접속하는 단말기는 인터넷에 연결을 금지하고 폐쇄망을 구성하여 정보처리시스템 관리 전용으로만 사용하도록 규정할 필요 최근 해킹은 악성프로그램을 이용하여 인터넷에 연결된 단말기를 장악한 후 정보처리시스템에 접속하는 기법을 이용하므로 정보처리시스템에 접속하는 단말기는 인터넷 접속이 차단될 필요가 있음 cf. 인터넷 쇼핑몰 해킹 사건 , 은행 해킹 사건 , 인터넷 포털사 해킹 사건 등 ,[object Object],[object Object],개정안 이 슈 의 견

정보보호 제품에 대한 인증 외국계 금융기관의 경우에 본사가 사용하는 정보보호제품의 사용을 허용 “ 국가기관”을 대한민국으로 한정하여 해석하는 경우 , 현재 인증 국가기관은 국정원 밖에 없고 , 해외 보안 업체들은 암호 소스를 국정원에 제공하고 있지 않음 따라서 문언상으로는 해외 정보보호제품은 사용할 수 없게 되는 결과가 되고 , 외국계 금융기관이 여러 국가에 통일적인 보안 시스템을 구축하거나 , 더 우수한 외국산 제품을 사용하기 곤란해짐 제 15 조 ( 해킹 등 방지대책 ) 제 2 항 제 1 호 " 정보보호 시스템에 사용하는 정보보호제품은 국가기관의 평가•인증을 받은 장비를 사용할 것 " 개정안 이 슈 의 견

DMZ 구간 내 이용자 정보의 저장시 암호화 거래로그는 DMZ 구간이 아니라 내부 통신망에 저장하도록 하고 , 보관기간도 1 개월 이내의 단기간으로 규정할 필요 ,[object Object],[object Object],[object Object],제 17 조 ( 홈페이지 등 공개용 웹서버 관리 대책 ) 제 1 항 제 4 호 “ DMZ 구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니할 것 ( 다만 , 거래로그를 관리하기 위한 경우에는 예외로 하되 이 경우 반드시 암호화하여 저장 , 관리하여야 한다 ) 개정안 이 슈 의 견

정보처리시스템의 IP 주소를 이용한 접근 통제 정보처리시스템에 접속하는 단말기는 IP 주소 , MAC Address 를 이용한 접근 통제 도입 필요 ,[object Object],[object Object],[object Object],[object Object],개정안 이 슈 의 견

보안프로그램의 해제 고객 본인이 동의할 경우에 보안프로그램을 아예 설치하지 않도록 문구를 명확히 하거나 , 유권해석 ,[object Object],제 34 조 ( 전자금융거래 시 준수사항 ) 제 2 항 제 3 호 " 해킹 등 침해행위로부터 전자금융거래를 보호하기 위해 이용자의 전자적 장치에 보안프로그램 설치 등 보안대책을 적용할 것 ( 다만 , 고객의 책임으로 본인이 동의하는 경우에는 보안프로그램을 해제할 수 있다 )" 개정안 이 슈 의 견

20111103 전자금융감독규정 개정규정의 해석상 쟁점

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to 20111103 전자금융감독규정 개정규정의 해석상 쟁점

Similar to 20111103 전자금융감독규정 개정규정의 해석상 쟁점 (20)

More from TEK & LAW, LLP

More from TEK & LAW, LLP (20)

20111103 전자금융감독규정 개정규정의 해석상 쟁점