앞으로 금융기관과 전자금융업자는 의무적으로 총 임직원의 5% 이상을 정보기술(IT)부문 인력으로, 또 이중 5% 이상은 정보보호 인력으로 확보해야 한다. IT보안 분야 예산도 전체 IT예산의 7%를 넘어야 한다. 금융위원회는 이같은 내용을 담은 '전자금융감독규정 전부개정규정안'을 변경예고했다고 5일 밝혔다. 이번 개정안은 올 상반기 현대캐피탈, 농협 등 금융기관에 대한 해킹사고가 잇달아 발생한 이후 금융당국이 내놓은 '금융회사 IT 보안강화 종합대책'의 내용을 구체화한 것이다. 당시 금융당국은 IT 보안강화 대책으로 △IT조직역량 강화 및 보안투자 확대 △IT업무 감독검사 강화 △IT보안 기술 인프라 및 내부통제 개선 △IT아웃소싱 관리 개선 △IT사고대응 및 재해복구 체계 강화 등을 제시한 바 있다. 금융위는 이번 개정안에서 IT부문 인력은 전체 임직원의 5% 이상, IT보안 인력은 IT부문 인력의 5% 이상 확보해야 한다는 기준을 명시했다. 또 IT부문 예산의 7% 이상을 IT 보안분야에 투자하도록 의무화 했다. 이는 IT보안 예산 비율을 전체 IT예산의 5% 이상 유지하도록 한 금융감독원의 기존 권고안보다 강화된 것이다. 금융위는 대신 개정안에 IT인력과 예산에 대한 세부 기준을 마련하면서 비용이 많이 드는 백업시스템을 IT보안 예산 항목에 포함시켰다. 전자금융업무에 대한 감독도 대폭 강화됐다. 개정안에 따르면 우선 금융감독원의 IT부문 실태평가 대상 금융기관이 기존 은행과 보험회사 외에 투자매매업자, 투자중개업자, 증권금융회사, 산용카드사, 자산 2조원 이상 여신전문금융회사 및 저축은행, 금융협회, 종합신용정보집중기관 등으로 확대된다. 금감원은 이들 금융기관에 대해 IT부문 운영 실태를 평가해 경영실태평가 등 감독·검사 업무에 반영해야 한다. 구체적으로 IT부문 실태평가 결과가 경영실태평가 세부 항목 중 경영관리 또는 위험관리 항목 평가에 20% 이상 반영돼야 하고, IT부문 평가가 4등급 이하인 금융회사에 대해서는 경영실태평가 2등급 이상 평가할 수 없도록 했다. 또 IT부문 실태평가 결과가 좋지 않은 금융회사에 대해 금감원이 개선책을 요구하거나 양해각서를 체결할 수 있도록 했다. 개정안에는 IT부문 보안준수 기준과 함께 전자적 침해 행위로부터 단말기, 전산자료, 정보처리시스템 등 IT시스템을 보호하기 위해 금융회사가 해야 할 의무사항도 담겼다. 또 IT 부문 내부통제 강화를 위한 세부방안도 포함됐다. 금융위는 개정안에서 전자금융보조업자와 계약을 체결하고 정보처리시스템을 운영하는 사업자를 전자금융보조업자에 포함시켰다. 금융기관과 계약을 체결한 장단기 아웃소싱 사업자를 규제 대상에 포함시켜 보안의무를 강화한 것. 농협 등 최근 해킹사건에서 드러난 규제 사각지대를 없애겠다는 취지다. 개정안은 이밖에 위기대응 행동 매뉴얼 또는 비상대책을 수립하고 연 1회 이상 비상대응훈련을 실시하는 등 금융회사가 비상사태에 대비하도록 했다. 또 전자금융사고에 대비해 보험 또는 공제에 가입할 경우 보상한도 금액을 은행은 20억원 이상, 신용카드는 10억원 이상, 금융투자 회사는 5억원 이상으로 정했다. 금융위 관계자는 "전자금융감독규정 개정에 따라 IT 보안 인력 및 예산이 확대되면 금융회사의 IT보안 역량도 강화될 것으로 기대하고 있다"며 "전산사고 예방에 필요한 구체적인 IT보안업무 처리 절차를 담은 IT보안업무 모범규준도 조만간 확정해 시행할 예정"이라고 말했다.
금융위는 이번 개정안에서 어떤 기준을 명시했나?
IT부문 인력은 전체 임직원의 5% 이상, IT보안 인력은 IT부문 인력의 5% 이상 확보해야 한다는 기준