2.1일(목), 금융위원회는 금융보안 규제를 “규칙(Rule)→ 원칙(Principle) 중심”으로 개선하여 금융권의 자율보안 토대를 마련하고, 금융전산 복원력을강화하여 재해·전자적 침해 등으로부터 금융시스템을 안정적으로 보호하는 등의 내용을 담은 「전자금융감독규정」 개정안에 대한규정변경을 예고하였다(’24.2.1. ~ ’24.3.12.)
전자금융감독규정은’06년 제정된 미시적 행위규칙(Rule)중심의 금융보안 규제를 현재까지 큰 틀에서 유지하고 있어, 상황별 유연한 보안대응을 곤란1하게 하고 금융회사의 소극적 행태2를 초래한다는 지적이 있어왔다.특히, AI, 클라우드 등 기술변화 및 고도화되는사이버 위협 등에 효과적으로 대응하기 위해 금융보안체계의 유연성 제고와 회복력 강화에 중점을둔 제도개선의 필요성이 제기되어 왔다. 이에, 금융보안규제를 목표·원칙 중심으로 합리화하여 금융회사의 자율적 판단영역을 확대하고 적극적 보안투자를 이끌어 내기 위해 전자금융감독규정 개정안을마련하였다.
* 1감독규정상 보안방법 등을 특정함에 따라 자율적으로 동일 목적을 달성하거나 보안을 강화할 수 있는 他 방법에 대한 가능성을 차단
2규정상 의무만 준수하면 모든 보안책임을 다한 것이라는 인식 등
우선, 금융회사 스스로 새로운 리스크에 유연하게 대응해 나갈 수 있도록 293개에 달하는 세세한 행위규칙(Rule)을 166개로 획기적으로 줄였다. 규정형식도 사전통제적·열거적 형식을 지양하고 원칙과 목적을 제시하는 방향으로 개선하였고, 나머지 세세한 부분은 금융회사가 스스로 결정할 수 있도록 하였다. 대표적으로, 사용자 비밀번호 설정 방식*을 구체적으로 특정하던 규정을 삭제하고 금융회사 스스로 안전하다고 판단되는 비밀번호및 인증수단 관리방식을 도입할 수 있도록 허용하였다. 또한, 건물·설비·전산실 관리및 각종 내부통제·사업운영등과 관련하여서도 금융회사의 자율성을 대폭 확대하였다. (주요 사례 : 참고2)
* 例 : (현행) ‘주민등록번호, 동일숫자, 연속숫자 등 제3자가 쉽게 유추할 수 있는 비밀번호의 등록 불가’ 등 세부규칙 존재
→ (개선) 제3자가 쉽게 유추할 수 없는 비밀번호 작성규칙 및 등록·변경 절차를 수립·운영할 것
한편, ’22년 카카오 데이터센터 화재이후, 재해·전자적 침해 등으로부터 금융전산 복원력(Cyber Resilience)강화와 신속한 소비자 피해구제필요성 등이 증대되었다. 이에, 그간 규제 사각지대에 있던 일부 중소금융사 및 전자금융업자 등에 대한 재해복구센터설치및 업무복구 목표시간 설정등이의무화된다. 동시에, 최고경영자, 이사회등의 금융보안 의사결정 관여도를높여 금융권 전반의 금융보안 거버넌스를 두텁게하고, 소비자 피해 구제에 만전을 기할 수 있도록 전자금융사고시 책임이행보험의 한도등도 함께 상향한다.
이 외, 상기 설명한 규제완화·규제강화에 포함되지 않은 현행유지 규정도 세부적·지엽적 내용은 가능한 범위내에서 최대한 원칙중심으로 합리화하여금융회사 등의 규제부담을 경감하고자 한다. 또한, 법률개정이 필요한사항은국회와 긴밀히 협의하여향후 전자금융거래법 개정을 통해 금융회사등의 자율보안체계로의 전환을 뒷받침하고자 한다.
금번 전자금융감독규정 개정안에 대해서는 ’24.2.1일(목)부터 ’24.3.12일(화)까지 규정변경을 예고하게 되며, 이후 금융위원회 의결 등의 절차를 거쳐 공고시부터 시행될 예정이다. 다만, 재해복구센터 설치등 일부 조항에 대해서는 금융회사의 준비기간 등을 감안하여 시행시점을 일정기간 유예하는 등의 경과규정을 마련할 예정이다.
< 규정변경예고 관련 안내사항 >
예고기간:2024.2.1일(목) ~ 2024.3.12일(화), (40일)
규정변경예고된 내용에 대해 의견이 있으시면 다음 사항을 기재한 의견서를 아래의제출처로 제출해 주시기 바랍니다.
이 누리집은 대한민국 공식 전자정부 누리집입니다.
240201(보도자료) 「전자금융감독규정」 개정안 규정변경 예고('24.2.1.~'24.3.12.).pdf
240201(보도자료) 「전자금융감독규정」 개정안 규정변경 예고('24.2.1.~'24.3.12.).hwp
'텍스트'에 한하여 공공누리 출처표시의 조건에 따라 자유이용이 가능합니다.
