1. 추진 배경

□전자금융거래법(이하 ‘전금법’) 개정법률이 지난 5.22일 공포되었으며, ’13.11.23일부터 시행 예정임

ㅇ 또한, 금융위 등의 침해사고 대응 전담반 운영, 금융회사의 임․직원 보안교육 강화 등의 내용이 담긴 「금융전산 보안강화 종합대책」을 지난 7.11일 발표하였음

□ 이에 따라, 개정법률의 위임사항을 정하고 종합대책을 이행하는 한편, 그동안 제도운영 과정에서 제기된 개선사항 등을 반영하기 위하여 전자금융거래법 시행령 개정을 추진

ㅇ동법 시행령 개정안이 ’13.8.14일 금융위에 보고되었고, '13.8.21일부터 '13.9.30일까지 입법예고될 예정

2. 주요 내용

가. 금융전산 보안강화

󰊱 정보기술부문 계획의 내용 구체화 및 CEO책임 명확화 (안 §11조의2)

ㅇ금융회사 및 전자금융업자는 매년 정보기술부문 추진목표 및 전략, 투입 인력․예산 등의 추진실적 및 향후계획을 수립하고, 대표자의 확인·서명을 받아 금융위에 제출

󰊲 취약점 분석․평가 대상 분야 확대 (안 §11조의4, 5)

ㅇ금융회사 등이 취약점 분석 평가를 실시할 분야*에 외부위탁된 정보기술부문, 전자금융보조업자의 시스템을 추가하고,

* 전금법상 취약점 분석․평가 분야 : 정보기술부문의 조직․시설 및 내부통제, 전자적 장치 및 접근매체, 침해사고 대응조치

- 비용 부담, 평가전문기관의 부족 등을 고려하여 금융회사 등의 규모에 따라 분석․평가의 내용, 주기 등을 차등화*

* 자산규모, 종업원 수 등을 감안하여 금융위가 정하는 일정규모 이하의 금융회사 등은 일반적인 절차보다 간소화된 “간이 취약점 분석·평가” 실시

󰊳 금융위원회의 침해사고 대응 업무 확대 (안 §11조의6)

ㅇ법에서 정한 업무* 이외에 침해사고 대응 전담반 운영 등 침해사고 대응․관리 체계 및 침해사고 정보공유체계 구축, 피해 확산 방지를 위한 보안 소프트웨어 보완요청 등의 업무 수행

* 침해사고 관련 정보 수집․전파, 침해사고의 예보·경보, 침해사고에 대한 긴급조치

󰊴 정보보호최고책임자(CISO) 업무에 IT보안 교육 추가 (안 §11조의3)

ㅇ금융회사 등의 임․직원의 정보보안에 대한 인식 제고를 위해 CISO 업무에 임․직원에 대한 정보보안 교육 책무를 명시

󰊵 중소 금융회사의 CISO 자격요건 완화 (안 별표1)

ㅇ일부 중소 금융회사는 내부인력 중 CISO 자격요건(학력·경력 등)을 충족하는 자가 없어 지정에 애로를 겪고 있고, 결과적으로 CISO가 지정되지 않아 IT보안 업무수행의 책임성 확보 곤란

* 특히, 신협 등 단위조합(2,343개)의 CISO지정률(22.8%)이 낮음(단위조합을 제외한 전체 금융회사(623개) 평균지정률 : 79.5%)

- 종업원수가 일정 규모(20명) 이하인 농협, 신협 등의 단위조합 및 새마을금고는 대표자 또는 대표자가 지정하는 자를 CISO로 지정·운영할 수 있도록 허용

나. 기존 규제 합리화

󰊱 일부 금융회사에 대해 전금법상 주요의무의 적용 배제 (안 §5)

ㅇ전금법상의 의무가 통상 전자금융거래를 전제하고 있고, 회사 규모가 작을수록 이러한 의무이행에 따른 부담이 상대적으로 큰 점을 고려하여,

- 전자금융업무를 수행하지 않는 금융회사 중 중소규모 회사*에 대해서는 전금법상 주요의무**의 적용을 배제

* ｢중소기업기본법｣상 중소기업 기준을 고려하여 “종업원 수 200명 미만 또는 영업수익 200억원 이하인 금융회사(단, 총자산이 2조원 이상이고 종업원 수가 300명 이상인 경우는 제외)”로 규정

** ①정보기술부문 및 전자금융업무 관련 금융위 규정 준수 ②정보기술부문 계획수립 및 제출 ③CISO 지정 ④전자금융기반시설의 취약점 분석․평가

󰊲 해킹사고에 대한 이용자의 고의․중과실 범위 조정 (안 §8)

ㅇ개정법률에 따라 해킹사고 등 발생시 금융회사가 이용자의 손해에 대해 일차적 책임을 부담하게 됨에 따라, 「전자금융사기 예방서비스」* 실시 등 금융회사 등의 전자금융거래 보안성 확보 노력이 강화될 전망

* 공인인증서를 (재)발급받거나 인터넷뱅킹으로 1일 누적 300만원 이상 이체시 추가적인 본인인증(단말기 지정, SMS 인증 등)을 거치도록 하여 보이스피싱 등 전자금융사기를 예방하는 서비스(‘13.9.26 전면시행 예정)

- 이에 대응하여, (ⅰ) 금융회사 등이 보안강화를 위해 요구하는 본인확인절차를 이용자가 정당한 이유 없이 거부하거나, (ⅱ) 이용자가 본인인증수단 또는 매체를 대여․위임․제공 또는 누설․노출․방치하는 경우도 고의․중과실 범위에 추가*

* 종전에는 이용자가 접근매체를 대여․위임․제공하거나 누설․노출․방치한 경우 이용자의 고의․중과실에 해당

3. 향후 일정

□ 입법예고 이후 규개위·법제처 심사 등을 거쳐 개정된「전자금융거래법」과 함께 ’13.11.23일 시행할 계획

※ 세부 개정내용은 다음에서 확인할 수 있음금융위원회(www.fsc.go.kr) → 법령정보 → 입법예고/규정변경예고