[전자금융기반시설 보안 취약점 평가] 평가 대상, 범위, 수행 방법

모든 지적, 첨언 환영합니다.

평가 대상

모든 금융회사 또는 전자금융업자

1. 총 자산 2조원 이상 + 상시 종업원 수 300명 이상인 금융회사 또는 전자금융업자

2. 상호금융 등 중앙회

3. 1번, 2번 이외의 금융회사 또는 전자금융업자

대상을 지정하는 듯 구분되어 있지만 결국 모든 금융회사를 의미한다.

1번, 2번에 해당하는 금융회사는 자체전담반을 구성해서 평가하고

3번에 해당하는 금융회사는 자체전담반을 구성하지 않아도 된다.

1번, 2번에 해당하는 금융회사도 평가전문기관에 위탁한다면 자체전담반을 구성하지 않아도 된다.

 

---

평가 주기

연 1회, 홈페이지 연 2회

※ 전자금융감독규정 제37조의2
① 전자금융기반시설의 취약점 분석ㆍ평가는 총자산이 2조원 이상이고, 상시 종업원 수 300명 이상인 금융회사 또는 전자금융업자이거나 「수산업협동조합법」, 「산림조합법」, 「신용협동조합법」, 「상호저축은행법」 및 「새마을금고법」에 따른 중앙회의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하여야 한다.
③ 제1항에 따른 금융회사 및 전자금융업자 이외의 자의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하되 자체전담반을 구성하지 아니할 수 있다.

 

---

평가 범위

전자금융기반시설 보안 취약점 평가기준

금융감독원에서 매년 발표되는 "전자금융기반시설 보안 취약점 평가기준"에 모든 평가 범위가 포함되어 있다.

※ 전자금융거래법 제21조의3제1항
① 금융회사 및 전자금융업자는 전자금융거래의 안전성과 신뢰성을 확보하기 위하여 전자금융기반시설에 대한 다음 각 호의 사항을 분석ㆍ평가하고 그 결과를 금융위원회에 보고하여야 한다.
1. 정보기술부문의 조직, 시설 및 내부통제에 관한 사항
2. 정보기술부문의 전자적 장치 및 접근매체에 관한 사항
3. 전자금융거래의 유지를 위한 침해사고 대응조치에 관한 사항
4. 그 밖에 대통령령으로 정하는 사항

※ 전자금융거래법 시행령 제11조의5
법 제21조의3제1항제4호에서 “대통령령으로 정하는 사항”이란 다음 각 호의 사항을 말한다.
1. 정보기술부문과 연계된 전자금융보조업자의 정보처리시스템 등에 관한 사항
2. 그 밖에 전자금융거래의 안정성과 신뢰성을 확보하기 위하여 필요한 사항으로서 금융위원회가 정하여 고시하는 사항

 

---

평가 수행 방법

자체전담반 조건

1. 정보보호최고책임자를 포함하여 5인 이상

2. 구성원의 30% 이상은 고급 기술인력 이상의 자격 필요

평가전문기관 조건

1. 금융분야 정보공유ㆍ분석센터로 지정된 자

2. 정보보호전문서비스 기업

3. 침해사고대응기관

4. 금융위원장이 지정하는 자

평가전문기관 조건에서 1번은 금융보안원

2번은 과기정통부가 지정한 보안컨설팅 업체 (안랩, SK쉴더스 등)

3번은 한국인터넷진흥원(KISA)이 해당된다.

※ 전자금융거래법 시행령 제11조의6제1항
① 금융회사 및 전자금융업자는 법 제21조의3제1항에 따라 전자금융기반시설의 취약점 분석ㆍ평가를 하려는 경우에는 자체전담반을 구성하여 실시하거나 전문성을 갖춘 외부 기관에 의뢰하여 실시하여야 한다. 이 경우 자체전담반의 구성기준과 의뢰할 수 있는 외부 기관의 기준은 금융위원회가 정하여 고시한다.

※ 전자금융감독규정 제37조의2
② 금융회사 및 전자금융업자는 취약점 분석ㆍ평가를 위하여 정보보호최고책임자를 포함하여 5인 이상으로 자체전담반을 구성하여야 하며, 구성원 중 100분의 30 이상은 고급 기술인력 이상의 자격을 갖춘 자이어야 한다. 평가전문기관에 위탁하는 경우에는 자체전담반을 구성하지 아니할 수 있다.
③ 제1항에 따른 금융회사 및 전자금융업자 이외의 자의 경우 연 1회 이상(홈페이지에 대해서는 6개월에 1회 이상) 실시하되 자체전담반을 구성하지 아니할 수 있다.

※ 전자금융감독규정 제37조의3제1항
① 전자금융기반시설의 취약점 분석ㆍ평가를 위한 평가전문기관은 다음 각 호의 자로 한다.
1. 「정보통신기반 보호법」 제16조에 따라 금융분야 정보공유ㆍ분석센터로 지정된 자
2. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호전문서비스 기업
3. 침해사고대응기관
4. 금융위원장이 지정하는 자