- 미래금융전략센터 내 신설된 “정보보호 전략컨설팅팀” 주도 I. 정보사고 예방의 중요성 대두 올해 3월말 개인정보보호위원회는 某 카드사에 대하여 가맹점주의 개인정보를 동의없이 마케팅에 활용하였다는 이유로 과징금 134억원 및 시정/공표 명령을 부과한 바 있습니다. 그런데, 그로부터 약 1달만에 某 통신사는 악성코드로 인해 고객들의 유심 관련 일부 정보가 유출되었다고 공지하였습니다. 이와 같이 2025년 들어 정보보호와 관련된 기업의 법적 책임이 그 어느 때보다도 무겁게 부각되고 있습니다. 특히, 금융기관에 있어서 고객의 정보보호는 일반 기업에 비하여 더욱 중요하고, 유출시 그 피해가 훨씬 클 수 있기 때문에 정보보안의 문제는 더욱 중요하게 다뤄질 필요가 있습니다. II. 금융위원회, IT보안규제 제도 개선 금융위원회는 2022년 급변하는 IT환경과 새로운 보안 리스크에 금융회사 또는 전자금융업자(이하 “금융회사 등”)가 탄력적으로 대응할 수 있도록 ｢금융보안규제 선진화 방안｣을 이미 마련한 바 있습니다. 동 방안은 금융분야에서 클라우드·빅데이터·AI 등 디지털 신기술 활용이 확대됨에 따라 보안 취약점을 이용한 랜섬웨어, DDoS 공격 등 사이버 위협의 유형도 다변화하자, ‘기존 금융보안 규제로는 보안 리스크에 효과적으로 대응하기 어렵다’는 문제의식에서 마련되었습니다. 그리고 올해 2월 5일, 동 방안을 실행하기 위한 1단계 조치로 전자금융감독규정 개정안이 시행되었습니다. 동 개정안은 먼저 금융보안 거버넌스를 강화하기 위해 종래 CISO(Chief Information Security Officer)가 정보보호위원회의 심의·의결사항을 단순히 최고경영자에게 보고하던 것에서 한발 더 나아가, 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치는 심의·의결사항에 대하여 이사회에 보고하도록 규정하였습니다. 그리고 금융회사 등이 전사적 차원에서 보안위협을 스스로 진단하여, 복잡하고 다변화되는 위험에 유연하게 대응해 나갈 수 있도록 규제체계를 “규칙(Rule) → 원칙(Principle) 중심”으로 개선(293개의 행위규칙을 166개로 정리)하였습니다. III. 금융감독원, IT내부통제 강화를 위한 「IT감사 가이드라인」 배포 금융감독원은 위와 같은 “규칙→원칙 중심”의 규제 패러다임 전환으로 IT보안 리스크 관리에 대한 금융회사 등의 자율성이 확대됨에 따라, 이에 상응하는 IT내부통제 체계의 구축 필요성이 증가할 것으로 판단하여, 2월 13일 체계적인 IT내부통제 운영 및 효과적인 IT감사업무 수행을 위한 기준을 가이드라인으로 발표하였습니다. 동 가이드라인은 금융감독원 IT검사 지적사례 및 국제 표준 등을 참고하고 금융업계(금융협회 및 저축은행중앙회, 핀테크산업협회 등) 의견 수렴을 통해 마련하였으며, ➊자체 IT리스크에 맞는 3단계 IT내부통제 체계 구성, ➋사각지대 없는 통제 범위 설정, ➌IT감사 독립성 확보 및 ➍표준 IT감사 방법론 등을 권고사항으로 제시하고 있습니다. ｢IT감사 가이드라인｣ 핵심 내용 ➊ (IT내부통제체계) [1단계]
