전자금융감독규정 6조~10조 파먹기

제6조(추심이체 출금 동의의 방법 등) ① 시행령 제10조제1호에서 "금융위원회가 정하여 고시하는 전자문서"라 함은 다음 각 전자문서을 말한다.  1. 「전자서명법」 제2조제2호에 따른 전자서명으로 다음 각 목의 요건을 구비된 전자서명을 한 전자문서 <개정 2016. 6. 30.> 가. 전자서명을 생성하기 위하여 이용하는 전자적 정보(이하 "전자서명생성정보"라함)가 본인에게 유일하게 속할 것  나. 전자서명 당시 본인이 전자서명생성정보를 지배ㆍ관리하고 있을 것  다. 전자서명이 있은 후에 당해 전자서명에 대한 변경여부를 확인할 수 있을 것  라. 전자서명이 있은 후에 당해 전자문서의 변경여부를 확인할 수 있을 것  2. 「전자서명법」 제2조제2호에 따른 전자서명으로 다음 각 목의 요건을 구비된 전자서명을 한 전자문서  가. 서명 전 실명증표를 통해 본인확인  나. 전자문서가 생성된 이후 서명자가 지급인 본인임을 확인 가능  다. 전자서명 및 전자문서에 대한 위변조 여부 확인이 가능  라. 전자문서를 고객에게 전송한 이후 고객이 취소할 수 있는 충분한 기간 부여  3. 삭제 <2015. 3. 18.>  ② 시행령 제10조제1호 및 제2호에서 "금융위원회가 정하는 방법"이라 함은 다음 각 호의 방법을 말한다.  1. 전화 녹취  2. 음성응답 시스템(Audio Response System : ARS)  ③ 지급인(출금계좌의 실지명의인을 포함한다)이 출금의 동의를 해지하는 경우에도 제1항 및 제2항의 규정을 준용한다. <개정 2015. 6. 24.> ④ 금융회사ㆍ전자금융업자 또는 수취인은 제1항 각 호의 출금 동의의 방법을 운용함에 있어 다음 각 호의 어느 하나에 해당하는 사실을 확인하여야 한다. <개정 2013. 12. 3.> 1. 지급인과 추심이체 출금계좌 실지명의인이 동일인인 사실  2. 지급인과 추심이체 출금계좌 실지명의인이 동일인이 아닐 경우에는 지급인이 당해 계좌에서 출금할 수 있는 권한을 보유하고 있는 사실

 

추심이체는 수취인이 내 돈을 가져가는 구조이기 때문에 이에 반발을 하는, 극단적으로 간다면 생떼를 부리는 고객이 있을 가능성을 무시할 수는 없을 것이다. 나중에 고객이 '나는 동의한 적 없는데?' 라고 나올 때 금융사가 이를 반박할 수 없다면 독박을 쓰게 될 것이고, 그렇기에 여기서의 1항은 이를 막기 위한 요건을 명시한다고 볼 수 있을 것이다.

 

추심이체 출금 동의는 금융회사 또는 전자금융업자가 지급인으로부터 직접 동의를 받을 수도 있으나, 수취인이 지급인으로부터 동의를 받아 금융회사 또는 전자금융업자에게 전달할 수도 있다. 그리고 이때 동의는 비대면의 수단으로도 인정한다.

 

또한, 사설전자서명 방식으로 전자서명을 한 전자문서도 추심이체 출금동의의 방법으로 활용할 수 있으므로, 해당기관에서 발급하는 사설인증서도 '일정 요건'을 갖춘 경우 추심이체 출금동의의 방법으로 인정한다. 그렇다면 이 '일정 요건'이란 무엇일까? 전자금융거래법 및 관련 법령에서는 추심이체 출금동의에 필요한 전자서명의 구체적인 기술 방식을 규정하고 있지는 않다. 따라서 각 전자서명이 요건을 충족하는지 여부는 개별 금융회사 등이 자율적으로 판단할 필요가 있을 것이다.

 

다음의 2항에서는 ARS 등이 나오는데, 모든 사람이 스마트폰 앱을 이용해서 전자서명을 하는 것이 아니다 보니, 전화 녹취와 ARS가 여기서 등장하게 된다. 

 

만일 음성응답시스템(ARS)로 추심이체 출금동의를 받는 경우, 녹취하여 관련 자료를 금융회사 등에게 전달하여야 하는 것이 기존 해석이었으나, 지급인의 육성이 포함되지 않은 경우 본인확인이 가능한 ARS 로그기록 등을 통해 대체 가능하다. 여기서 분명히 따져야 할 것은, 단순 통화가 아니라 'XXX 계좌에서 출금되는 것에 동의하십니까?' 라는 음성에 명확하게 고객이 '네'라고 답하는 내용이 포함되어야 한다는 것이다. 그리고 이 음성 데이터 자체가 '전자문서'로서 안전하게 보관되어야 할 것이다.

 

또한, 금융회사ㆍ전자금융업자 또는 수취인은 출금동의와 관련하여 지급인과 추심이체 출금계좌 실지명의가 동일인인 사실을 확인할 필요가 있다. 그러니까 '돈을 빼달라고 신청한 사람' = '실제 계좌 주인' 여부를 확인해야 한다는 것이다. 예를 들어, 아들이 아버지 계좌번호를 적고 본인 휴대폰으로 본인 확인을 받아 추심이체를 신청하는 경우를 차단해야 한다는 것이다. 이럴 때 많이 쓰는 요소 중 하나가 계좌로 1원을 전달하는 방식이다. 추심이체 출금 동의는 수취인, 예금주, 출금계좌를 출금동의 효력 판단의 기준으로 보고 있으며, 해당 기준이 변경될 경우 별도 동의가 필요할 것이다.

 

개인정보보호법상의 '동의'와 전금규상의 '추심이체 동의'는 그 증거력의 수준이 다르다고 할 것이다. 추심이체 사고가 나면 금융회사가 "우리가 제6조에 따라 완벽하게 동의를 받았다"는 것을 입증해야 하며, 입증을 못하면 독박을 써야하기 때문이다. 그렇기에 이 동의 관련 전자문서나 녹취 파일은 단순한 마케팅 동의서보다 훨씬 긴 기간 동안 무결성이 보장된 상태로 보관된다 할 것이다.

제6조의2(정보보호최고책임자의 지정대상) ① 시행령 제11조의3제1항 후단에서 "금융위원회가 정하여 고시하는 상시 종업원 수의 산정방식"이란 「소득세법」에 따른 원천징수의무자가 근로소득세를 원천징수한 자를 말한다.  ② 시행령 <별표 1>의제3호나목 단서에서 "금융위원회가 정하여 고시하는 산정방식"이란 「소득세법」에 따른 원천징수의무자가 근로소득세를 원천징수한 자를 말한다.

 

금융회사 또는 전자금융업자는 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자, 즉 CISO를 지정하여야 한다. 전자금융업무를 하지 않는 은행, 증권사, 보험회사, 신용카드사, 신용정보회사 등은 여기서 예외한다.

 

그리고 기준을 보면 근로소득세 원천징수가 그 내용임을 알 수 있다. 단순히 책상에 앉아 있는 사람 수가 아니라, 세법상 원천징수 이행상황 신고서에 기록된 인원을 기준으로 삼겠다는 뜻이다. 따라서 정규직뿐만 아니라 1년 미만 계약직, 아르바이트생이라도 근로소득세를 원천징수한다면 인원수에 포함될 것이다. 파견 인력은 제외될 것이고 말이다. 그렇기에 문서에 명시된 인원수가 500 근처인 조직이라면, 매달 인원수를 확인하는 과정이 필요할 것이다.

 

한편, 금융회사 또는 전자금융업자의 총자산, 상시 종업원 수에 따라 CISO의 자격 요건 및 겸직 가능 여부가 달리 적용되기 때문에 아래의 내용을 확인할 필요가 있다.

 

전자금융거래법 적용 대상인 금융회사 또는 전자금융업자는 CISO의 지정과 관련하여 정보통신망법보다 전자금융거래법이 우선 적용된다. 그렇기에 금융회사 또는 전자금융업자의 사업 영역 중 전자금융거래법이 적용되지 않는 사업 부문이 존재하는 경우라면, 그때에 비로소 망법을 적용한다 할 것이다. 

제7조(전자금융거래 종류별 안전성 기준) 법 제21조제2항의 "금융위원회가 정하는 기준"이라 함은 다음 각 호의 내용에 관하여 제8조부터 제36조에서 정하는 기준을 말한다.<개정 2025. 2. 5.>   1. 인력, 조직, 교육 및 예산 부문 <개정 2013. 12. 3., 2025. 2. 5.> 2. 건물, 설비, 전산실 등 시설 부문  3. 단말기, 전산자료 및 정보처리시스템 등 정보기술부문 <개정 2025. 2. 5.> 4. 해킹, 악성코드 감염 등 정보보호부문 <신설 2025. 2. 5.> 5. 정보처리시스템 및 전자금융거래 관련 사업 부문 <신설 2025. 2. 5.> 6. 비상대책 등 업무지속성부문 <신설 2025. 2. 5.> 7. 전산원장통제, 프로그램 통제 등 정보기술부문 내부통제 <신설 2025. 2. 5.> 8. 그 밖에 전자금융업무의 안전성 확보를 위하여 필요한 사항<종전의 제4호에서 이동, 2025. 2. 5.>

 

7조는 전자금융감독규정의 목차 및 로드맵을 알려주는 조항이라 할 수 있다. 25년 개정을 통해 더욱 세분화된 것을 알 수 있고, 개인정보보호법의 안확보와 대조한다면 더욱 포괄적이라 할 수 있을 것이다. 개보법이 데이터를 어떻게 보호할 것인가에 초점을 두는 것과 달리, 전금규는 금융 서비스가 중단 없이, 조작 없이, 외부 침입 없이 운영되기 위한 조직의 모든 구성 요소를 어떻게 통제할 것인지를 묻기 때문이다.

제8조(인력, 조직, 교육 및 예산) ① 금융회사 또는 전자금융업자는 인력 및 조직의 운용에 관하여 다음 각 호의 사항을 준수하여야 한다.<개정 2013. 12. 3, 2025. 2. 5..>  1. 정보처리시스템 및 전자금융업무 관련 전담 조직을 확보할 것  2. 외부주문등에 관한 계약을 체결하는 때에는 계약내용의 적정성을 검토하고 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖출 것  3. 정보보호최고책임자는 임직원의 정보보호역량 강화를 위하여 매년 교육계획을 수립ㆍ시행할 것 <개정 2025. 2. 5.> 4. 최고경영자는 전년도 교육계획 시행 결과를 평가하고, 정보보호최고책임자는 그 결과를 금년도 교육계획에 반영할 것 <신설 2025. 2. 5.> 5. 정보보호최고책임자는 임직원이 정보보안 관련법규를 준수하고 있는지 정기적으로 점검하고 그 점검결과 및 보완계획을 최고경영자에게 보고할 것<개정 2025. 2. 5..> <신설 2013. 12. 3> 6. 최고경영자는 임직원이 정보보안 관련법규를 위반할 경우 그 제재에 관한 세부기준 및 절차를 마련하여 운영할 것<종전의 제5호에서 이동, 2025. 2. 5.>  ② 금융회사 또는 전자금융업자는 정보기술 및 정보보호 분야별 전문성을 갖춘 인력과 충분한 예산을 확보해야 한다. <개정 2013. 12. 3., 2025. 2. 5.>

 

8조는 금융회사 및 전자금융업자는 정보처리시스템 및 전자금융거래의 안전성을 확보하기 위해 충분한 예산과 정보기술 및 정보보호 전문성을 갖춘 인력 및 조직을 확보하고 이를 효율적으로 운영할 수 있는 체계를 마련하여야 한다는 내용이다.

 

1호에서, 전자금융거래 규모, 이용자 수를 고려하여 정보처리시스템 및 전자금융업무의 안정적 운영에 필요한 적정인력으로 구성된 전담조직을 확보하여야 하는데, 전담조직의 규모 및 조직 운영방식은 회사의 사정에 따라 자율적으로 정할 수 있다.

 

2호에서, 전자금융거래 관련 제휴, 위탁 또는 외주주문 등에 관한 계약시 계약내용의 적정성을 검토할 수 있고, 외부주문업무에 관한 리스크 관리체계와 이를 위한 조직 및 인력을 갖춰야 한다.

 

이 1호, 2호의 내용에서 무분별한 아웃소싱에 대해 경계해야 한다는 것을 확인할 수 있다. 시스템 운영을 외주(보조업자)에 맡기더라도, 그들이 제대로 하고 있는지 감시할 내부인력이 분명 있어야 한다. 나는 보통 일찍 출근하는 것을 즐겨서 7시 30분 정도면 회사에 도착해 있는 편인데, 컨설턴트인 내가 그렇게 행동하도록 하게 냅둬서는 안된다는 것이다. 1층 로비, 접견실 등에 위치하도록 해야 하고, 사무 공간에는 반드시 정상적인 근무시간에 있을 수 있도록 해야 한다. 또한, 사고 발생 시 "외주업체 잘못입니다...."라는 변명이 통하지 않도록 자체 통제 조직을 강제하고 있다.

 

3호에서, 정보보호최고책임자는 조직의 정보보호 전략, 리스크 관리 계획 및 규제요건을 고려하여 임직원의 정보보호역량을 강화하기 위한 연간 교육계획을 수립하고 교육 및 연수 프로그램을 마련하여 시행하여야 한다. 온ㆍ오프라인 강의, 모의훈련, 실습 및 체험형 교육 등 효과적인 방식으로 교육을 구성하고, 경영진의 참여, 보상 및 인센티브 제공, 지속적인 홍보 등을 통해 단순히 형식적인 교육이 아니라 실제 조직 내 보안 수준을 향상시키는 방향으로 운영해야 할 것이다. 이때, 임직원 업무별 차별화된 교육계획을 수립하는 것도 효과적이다. 예를 들면 아래와 같다.

 

- 일반 직원 : 기본 보안 수칙, 정보보안 관련 규제

- 경영진 : 정보보호 거버넌스 및 보안 투자 전략

- 정보보호업무 및 정보기술업무 담당 직원 : 사이버 공격 대응, 침해사고 분석

- 외주업체 직원 : 기업 보안 정책, 데이터 보호 방안 등

 

특히 기본 보안 수칙에 대해서는 단순 안확보 교육으로 대체하는 것보다는 조직의 실질적인 특성을 고려하여 가능한 쉬운 언어로 교육하는 것이 효과적일 것이다.

 

4호에서, 최고경영자는 전년도 교육계획 시행결과의 효과성을 평가하고, 정보보호최고책임자는 그 결과를 제1항제3호에 따른 당해연도 교육계획에 반영해야 한다. 교육의 효과성 평가는 임직원 대상의 보안인식 설문조사, 정보보호 지식 테스트, 모의 피싱 공격, 보안사고 대응 훈련 등의 방식을 활용할 수 있다.

 

5호에서, 정보보호최고책임자는 임직원이 전자금융거래법 등 정보보안 관련 법규 및 회사의 보안정책을 준수하고 있는지 정기적으로 점검하고, 그 점검결과, 주요 리스크, 보완계획 및 경영진의 협력 및 의사결정이 필요한 사항 등을 최고경영자에게 보고하여 최고경영자가 보안의 중요성을 인식하고 필요한 투자와 정책을 실행할 수 있도록 지원해야 한다.

 

6호에서, 최고경영자는 임직원이 정보보안 관련 법규를 위반할 경우 그 제재에 관한 세부 기준 및 절차를 마련하여 운영해야 한다.

 

4~6호는 보안은 CISO만의 과제가 아닌, CEO의 KPI라는 의미이다. 단순히 교육을 했다는 것으로 퉁치고 끝나는 게 아니라, 그 내용을 평가해야 하고, 법규 위반 시 제재 절차를 CEO가 마련해야 한다. CEO의 모르쇠를 막는 내용이라 할 수 있다.

제8조의2(정보보호위원회 운영) ① 금융회사 또는 전자금융업자는 중요 정보보호에 관한 사항을 심의ㆍ의결하는 정보보호위원회를 설치 운영하여야 한다.  ② 정보보호위원회의 장은 정보보호최고책임자로 하며, 위원은 정보보호업무 관련 부서장, 전산운영 및 개발 관련 부서장, 준법업무 관련 부서의 장 등으로 구성한다.  ③ 정보보호위원회는 다음 각 호의 사항을 심의ㆍ의결한다.  1. 법 제21조제4항에 따른 정보기술부문 계획서에 관한 사항  2. 법 제21조의2제4항제1호에 관한 사항 <개정 2015. 6. 24.> 3. 법 제21조의3에서 정한 취약점 분석ㆍ평가 결과 및 보완조치의 이행계획에 관한 사항  4. 전산보안사고 및 전산보안관련 규정 위반자의 처리에 관한 사항  5. 제14조의2제1항의 클라우드컴퓨팅서비스의 이용에 관한 사항 <신설 2022. 11. 23.> 6. 기타 정보보호위원회의 장이 정보보안업무 수행에 필요하다고 정한 사항 <개정 2022. 11. 23.> ④ 정보보호최고책임자는 정보보호위원회 심의ㆍ의결사항을 최고경영자에게 보고하여야 하며, 정보보호최고책임자가 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미친다고 판단하는 심의ㆍ의결사항에 대해서는 이사회에 보고 하여야 한다. <개정 2025. 2. 5.> ⑤ 최고경영자는 특별한 사정이 없는 한 정보보호위원회의 심의ㆍ의결사항을 준수하여야 한다.

 

정보보호위원회는 아래의 사항을 심의ㆍ의결 또는 승인해야 한다.

- 정보기술부문에 대한 계획은 정보보호위원회 심의ㆍ의결을 거친 후 대표자의 확인ㆍ서명을 받아 금융감독원에 제출(제3항제1호, 법 제21조제4항, 시행령 제30조제1항제1호의2)
- 정보보호최고책임자가 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획을 수립한 사항에 대해 정보보호위원회 심의ㆍ의결(제3항제2호)
- 취약점 분석ㆍ평가 결과 및 보완조치의 이행계획에 관한 사항에 대하여서는 정보보호위원회 심의ㆍ의결을 거치고, 금융감독원에 보고하며(제3항제3호, 법 제21조의3, 시행령 제30조제1항 제1호의3), 이행계획의 시행 결과는 최고경영자에 보고(감독규정 제37조의2제5항제3호)
- 전산보안사고 및 전산보안관련 규정 위반자의 처리(제3항제4호)
- 클라우드컴퓨팅서비스 이용시 이용업무의 중요도 평가 결과, 클라우드컴퓨팅서비스 제공자의 건전성 및 안전성 등에 대한 평가 업무연속성 계획 및 안전성 확보조치가 심의ㆍ의결 사항에 포함되어야 함(제3항제5호, 감독규정 제14조의2)

- 망분리 예외처리 관련 정보보호위원회 승인(감독규정 제15조제1항제3호, 제5호, 시행세칙 제2조의3)

- 그 외 정보보호위원회의 장이 정보보안업무 수행에 필요하다고 정한 사항에 대해서 심의ㆍ의결 사항으로 정할 수 있음(제3항제6호)

 

정보보호최고책임자는 정보보호위원회의 심의ㆍ의결 결과를 최고경영자에게 보고하여야 하며, 전자금융거래 안전성과 신뢰성에 중대한 영향을 미치는 사안에 대해서는 이사회에 보고하여야 한다. 보고 예시는 다음과 같다.

 

 

보고 사유가 발생한 날 이후 최초에 개최되는 이사회에 보고하는 것을 원칙으로 하되, 안건의 중요도 등을 고려하여 일괄ㆍ통합보고 등 보고시기를 조정하는 것도 가능할 것이나, 이사회 보고는 최소 연 1회 이상 보고하는 것이 바람직할 것이다. 그외에 대규모 침해사고 등으로 인한 신속 대응이 필요한 사안에 대해서는 지체없이 이사회를 개최하여 보고하고, 아울러 이사회 의사결정이 필요한 사안에 대해서는 사전 보고를 해야 할 것이다. 

 

보고 방법은 이사회에 정확하고 상세한 정보를 제공하고 관심을 제고하기 위해 CISO가 직접 대면 보고하는 것을 원칙으로 하되, 사실 매번 그렇게 한다는 게 현실적으로 어려우니 안건의 중요도 등을 고려하여 필요시 서면보고도 무방하다. 다만 이 모든 것은 사회 보고 내용의 범위ㆍ시기 등을 내규에 반영하여 명확히 하는 것이 필요할 것이다.

 

이 위원회 구성을 보면, CISO가 장을 맡고, IT 뿐만 아니라, 컴플라이언스 부서장까지 포함하도록 한다는 것이다. 실제로는 다 다르겠다만, 보안 정책이 영업이나 개발 효율성과 충돌할 때, 이를 다각도에서 검토하여야 한다는 의미이며, 그렇게 조직적 합의를 끌어내야 한다는 것이다. 이 위원회에서 다루는 안건들은 금융회사의 생존과 직결된 것들이라 할 것이다. 

제8조의3(직무의 분리) 금융회사 또는 전자금융업자는 정보기술부문의 내부통제를 위한 직무분리 기준을 수립ㆍ운용하여야 한다.

 

금융회사 등은 정보처리시스템 개발, 운영, 보안관리에 있어 권한 오ㆍ남용 등으로 인한 내부 부정행위, 보안사고, 데이터 조작 등 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립ㆍ운용하여야 한다는 단골 내용이다.

 

한 사람이 IT시스템을 개발하면서 동시에 운영 및 모니터링 권한을 보유한 경우, 개발자가 직접 운영시스템을 변경하여 고객 계좌 잔고를 변경, 부정 송금, 보안로그를 조작하여 데이터 조회 흔적을 삭제하는 등의 사고가 발생할 수 있고, 한 사람이 시스템을 변경하고 직접 테스트 및 검증을 하는 경우에도 오류를 놓칠 가능성이 높아 실수로 인한 금융사고나 서비스 장애 발생이 가능하다.

 

또한, 시스템 무단조작, 민감정보 무단조회 등의 사고를 방지하기 위해 담당업무별로 업무를 분리하고 최대한 상호견제가 이루어질 수 있도록 통제체계를 마련하여 운영해야 할 것이다. 소규모 조직 등의 사유로 불가피하게 직무 분리가 어려운 경우라면, 직무자 간의 상호검토, 책임 추적성(Audit Trail) 확보 등 보완통제 방안을 수립하는 것이 필요하다. 언제든 대체 통제는 필요하단 것이다.

 

이 직무분리는 시스템 개발, 운영, 보안, 감사 등의 역할을 명확히 구분하여 한 사람이 중요한 업무를 동시에 수행하지 않도록 하는 것을 원칙으로 하며, 소프트웨어 개발과 IT운영을 통합하여 빠르게 애플리케이션을 배포하기 위한 개발방식(ex. 데브옵스)을 채택한 경우라 하더라도 직무분리 원칙은 준수되어야 할 것이다. 사실 금융당국도 당연히 데브옵스의 필요성을 인지하고 있을 것으며, 그것 자체를 막지는 않는다. 다만, 사람이 수동으로 나누지 못한다면, 시스템(CI/CD 파이프라인)이 그 역할을 대신하게 하는 것이 필요하다. 예를 들어, 개발자가 코드를 짜서 배포까지 한 번에 하더라도, 그 중간 과정에 자동화된 검증 단계를 필수적으로 삽입하는 것이다. 개발자가 git push를 하면, 시스템이 자동으로 보안 취약점을 스캔(SAST/DAST)하고, 테스트 결과가 100% 통과되지 않으면 배포를 차단하는 것이다. 데브옵스라고 해서 개발자가 운영 서버의 루트 권한을 직접 갖는 것은 절대 허용되지 않으니, 이점을 특히 유의해야 할 것이다.

 

그러니까 인프라보안 팀장이 정보보호업무 담당 부서장을 겸임하고 있다면, 전반적인 정보보호 업무 준수 여부를 감독하여야 하는 정보보호 조직의 독립적인 운영이 현실적으로 어려울 것이고, 인프라 및 보안간 이해상충 문제로 인해 상호견제가 제대로 이루어지지 않을 우려가 아주 아주 크다 할 것이다.

 

그밖의 직무분리 예시로는 다음이 있다.

 

단순히 "너는 개발해, 너는 운영해"라고 말로만 나누는 것은 직무 분리가 아니다. 시스템적으로 이를 증빙할 수 있는 조치가 필요하다 할 것이다. 개발자가 수정한 코드를 운영 환경에 반영하려면 반드시 제3자의 승인이 있어야만 배포가 가능하도록 시스템화해야 할 것이며, 역할 기반 접근 제어를 통해 직무에 꼭 필요한 최소한의 권한만 부여해야 할 것이다. 보통 팀 안에서는 서로가 서로의 정/부이기 때문에 현실적으로는 힘들겠지만 말이다. 그밖에, 운영망 접근은 운영 인력만 가능하도록 물리적/논리적으로 통제해야 할 것이다.

제9조(건물에 관한 사항) 금융회사 또는 전자금융업자는 전산실이 위치한 건물에 관하여 안전대책 및 출입통제 보안대책을 수립ㆍ운용해야 한다.<개정 2013. 12. 3., 2025. 2. 5.>

 

자연재해, 인적재해 등 물리적ㆍ환경적 위협으로부터 전산센터를 포함한 전산실을 물리적으로 보호하기 위한 대책을 마련하고 운용하기 위한 조항으로, 전산실 건물에 대해서는 지진, 수해 및 화재 등의 재난으로부터 업무연속성을 확보하기 위해 보호대책을 마련하여야 하며, 외부 시설을 이용하는 경우에는 보호대책이 적절히 적용되어 있는지 확인해야 한다는 것이다.

 

특히, 전산실 건물에 대한 출입은 인가된 직원만 가능하도록 출입통제체계를 마련하여 운영해야 한다. 이때에 1번의 인증으로 2명 이상이 들어갈 수 있지 않도록 스피트게이트 등의 방안을 고려해야 할 것이다.

 

재난 또는 재해에 대해 너무 안일하게 생각하다가는 카카오 데이터센터의 경우를 맞이할 수 있을 것이다. 지진이나 화재 시에도 정보처리시스템이 물리적으로 파괴되지 않아야 한다는 것에 자신이 있어야 할 것이고, 특히 여기서 특히 전산실 벽면은 일정 시간 이상 화마를 견딜 수 있는 내화벽이어야 한다. 또한, 폭우 시 전산실이 잠기지 않도록 배수 시설 및 차수판 설치가 필요한데, 이것이 일반적으로 전산실을 지하에 두지 않는 것을 권고하는 근거가 된다. 그밖에 건물의 전력이 차단되어도 운영될 수 있도록 UPS 및 비상 발전기 시설이 건물 내 안전한 장소에 배치되어야 할 것이다.

제10조(전원, 공조 등 설비에 관한 사항) 금융회사 또는 전자금융업자는 전산실이 위치한 건물의 전원, 공조 등 설비의 안전성을 위한 기준을 수립 ㆍ운용해야 한다.<개정 2013. 12. 3. 2025. 2. 5.>

 

전산실이 위치한 건물 내 전원, 공조 등 물리적ㆍ기술적 인프라에 대한 운영 연속성과 복원력 확보를 위한 기준을 마련하고 운용하라는 조항으로, 서버 등 주요 정보처리시스템이 위치한 전산실의 안전성 확보를 위해 전원 및 공조설비에 대한 운영기준을 마련해서 운용하라는 것이다. 이때 기준에 대해서는 세부기준은 집적정보통신시설 보호지침(과학기술정보통신부고시 제2024-19호) 제8조 및 [별표] 집적정보 통신시설 보호조치 세부기준을 참고하면 될 것이다.

 

단순 설비를 갖췄다고 끝이 아니라, 설비가 제대로 작동함을 증명할 수 있는 지를 고려해야 할 것이며, 그렇기에 정기 점검 보고서, 임계치 설정 및 알람, 장애 조치 매뉴얼 등이 준비되어 있는지 확인해야 할 것이다.