목 차 Ⅰ. 추진배경 1 Ⅱ. 금융분야클라우드현황 3 1. 이용현황 4 2. 클라우드이용규제 감독 6 Ⅲ. 그간의클라우드이용규제평가및개선방향 7 1. 클라우드이용측면 7 2. 개인정보보호측면 8 3. 금융보안측면 8 4. 관리 감독측면 9 Ⅳ. 클라우드활성화를위한제도개

Size: px

Start display at page:

Download "목 차 Ⅰ. 추진배경 1 Ⅱ. 금융분야클라우드현황 3 1. 이용현황 4 2. 클라우드이용규제 감독 6 Ⅲ. 그간의클라우드이용규제평가및개선방향 7 1. 클라우드이용측면 7 2. 개인정보보호측면 8 3. 금융보안측면 8 4. 관리 감독측면 9 Ⅳ. 클라우드활성화를위한제도개"

욱환 임
6 years ago
Views:

1 해외없는버전 금융권클라우드이용확대방안 금융위원회

2 목 차 Ⅰ. 추진배경 1 Ⅱ. 금융분야클라우드현황 3 1. 이용현황 4 2. 클라우드이용규제 감독 6 Ⅲ. 그간의클라우드이용규제평가및개선방향 7 1. 클라우드이용측면 7 2. 개인정보보호측면 8 3. 금융보안측면 8 4. 관리 감독측면 9 Ⅳ. 클라우드활성화를위한제도개선방안 클라우드컴퓨팅허용이용범위확대 클라우드서비스기준도입 클라우드서비스이용감독 검사강화 17 Ⅴ. 기대효과 19 Ⅵ. 향후계획 19

Ⅰ. 추진배경 기술발전에따라금융분야의디지털화 가폭넓게확산 ㅇ디지털혁명을대표하는기술인 인공지능

자원의직접구축없이도필요한만큼빌려쓰는공유환경을제공 ㅇ클라우드이용자는다양한 서비스를빌려서이용하고

그간정부는금융권클라우드활성화를위해전자금융감독규정을개정하고 클라우드서비스이용가이드를마련 월

클라우드유형프라이빗 퍼블릭 하이브리드 서비스특징 현재활용상제약 망분리 비공개방식 한정된사용자 특별한제약없음

지정후사용 다만 최근 빅데이터등 기술과금융접목확대로금융권클라우드활용과관련한추가규제정비의필요성이증가 ㅇ특히

3 Ⅰ. 추진배경 기술발전에따라금융분야의디지털화 가폭넓게확산 ㅇ디지털혁명을대표하는기술인 인공지능 등이기술과금융의융합을주도 이가운데클라우드 는금융회사의외부주문 아웃소싱 의하나로 자원의직접구축없이도필요한만큼빌려쓰는공유환경을제공 ㅇ클라우드이용자는다양한 서비스를빌려서이용하고 이용량에따라비용을지불하므로업무생산성증진과비용절감이가능 인프라자체구축운영 클라우드서비스활용 그간정부는금융권클라우드활성화를위해전자금융감독규정을개정하고 클라우드서비스이용가이드를마련 월 ㅇ보안사고등부작용방지를위해고유식별정보 개인신용정보를제외한 비중요정보 에한해클라우드 퍼블릭 이용을허용 클라우드유형프라이빗 퍼블릭 하이브리드 서비스특징 현재활용상제약 망분리 비공개방식 한정된사용자 특별한제약없음 인터넷망 공용방식 불특정다수 개인신용정보등중요정보처리불가 중요업무 프라이빗비중요업무 퍼블릭 비중요정보 지정후사용 다만 최근 빅데이터등 기술과금융접목확대로금융권클라우드활용과관련한추가규제정비의필요성이증가 ㅇ특히 은행 카드 핀테크기업등각업권에서클라우드규제완화건의가지속적으로제기되어왔고 관계기관 전문가의의견을수렴 보안장치 감독체계강화를전제로 금융회사핀테크기업이안정적으로클라우드를활용할수있도록제도개선을검토 - 1 -

분류 ) 서비스로제공받는 자원과공유하는이용자의범위를기준으로다음과같이분류가능

응용프로그램 ( 공유범위 ) 서비스에대한공유범위에따라 불특정다수 특정회사

가상화 ) 집적된 자원을가상화기술 을이용해논리적단위로분할하여서비스를제공 (

4 참고 1 클라우드컴퓨팅개요 ( 개념 ) 전산설비를직접구축하지않고 전문업체로부터인터넷을통해필요한 자원을탄력적으로제공받아사용하는컴퓨팅환경 ( 분류 ) 서비스로제공받는 자원과공유하는이용자의범위를기준으로다음과같이분류가능 ( 서비스대상 ) 서버저장장치네트워크등의전산인프라 응용프로그램개발환경 응용프로그램 ( 공유범위 ) 서비스에대한공유범위에따라 불특정다수 특정회사 클라우드로구분 ( 주요특징 ) 서비스대상과공유범위에따라상이 할수있으나일반적특징은다음과같음 (IT 자원공유 ) 이용자의요구에따라탄력적으로이용할수있도록 자원을집적하여다수의고객과공유 ( 가상화 ) 집적된 자원을가상화기술 을이용해논리적단위로분할하여서비스를제공 ( 인터넷연결 ) 원격에있는 자원에인터넷을통해접속 ( 활용효과 ) 금융회사의경우급증하는정보량과복잡해지는 시스템에대응한유연한 인프라확보 비용절감 신기술접목확대등가능 핀테크기업은클라우드활용시손쉬운개발환경구축 보안성제고 리스크대비비용절감 고객정보를이용한다양한서비스개발이가능 - 2 -

5 Ⅱ. 금융분야클라우드현황 1. 이용현황 ( 국내 ) 총 개금융회사 건 에서업무처리 부가서비스제공등목적으로클라우드시스템을이용 월 ㅇ주로개인정보와관련이없는내부업무처리 고객서비스 회사 상품소개 등에활용중 업무용도별클라우드시스템활용현황 용도건수비중 구체적업무용도 내부업무처리 인사관리 이메일 메신저 직원교육 차량관리등 고객서비스 고객상담 투자정보제공 이미지저장 설문조사등 회사 상품소개 회사소개 서적 음반 전시소개 투자상품소개 정보분석 장외파생상품평가 영업활동 수익분석 정보분석등 보험계리 보험계리분석 합계 ( 해외 ) 용도가제한되어있는국내에비해해외는금융회사별수요에따라다양한방식으로클라우드서비스를이용중 ㅇ일부금융회사는내부지원업무뿐만아니라뱅킹서비스와같은핵심시스템도클라우드서비스로이전 이용대상구분 전체 핵심 시스템 금융서비스등일부시스템 내부업무용시스템 해외금융회사별클라우드이용사례 클라우드이용사례 영국 은행 전체시스템을아마존클라우드로이전 호주 은행 전체시스템의 를클라우드로이전 년 일본 계정계시스템을클라우드로이전장기계획 홍콩 빅데이터관련파일럿프로젝트를클라우드로수행 영국 구글클라우드의인공지능 엔진을이용하여 고객별위험예측및보험금산정등에활용 미국 고객관리시스템을클라우드로구축 영국 등 클라우드기반오피스환경 등 구축 해외는클라우드를통해금융회사고유서비스제공뿐만아니라 빅데이터등신기술활용을적극추진중이나 국내는내부업무처리나부가서비스등활용분야가제한적 - 3 -

6 2. 클라우드이용규제 감독 < 국내제도현황 > 그간의추진경과 과기부는클라우드발전법을제정 년 하고 클라우드선도국가로의도약을위해제 차기본계획 을수립 현재 차기본계획 수립을준비중으로 민관합동 구름타고세계로 를통해애로사항을점검하고개선방안을도출 금융위도금융분야클라우드서비스활용확산을위해클라우드 구성 월 및제도개선방안을마련 추진 월 금융회사전자금융업자는클라우드컴퓨팅이용을위해전자금융거래에미치는영향이낮은시스템을비중요정보처리시스템으로지정가능 전자금융감독규정제조의 신설 ㅇ금융회사등은정보자산의중요도에따라 비중요정보처리시스템 지정이가능하며 해당시스템에대해서는물리적망분리등클라우드이용이제한되는규정이적용되지않음 ㅇ다만 개인신용정보와고유식별정보를처리하는정보처리시스템은 비중요시스템으로지정이불가 ㅇ클라우드이용대상시스템 비중요정보처리시스템지정기준 시스템 보호대책등에관한 금융권클라우드서비스이용가이드 배포 반면 금융분야는클라우드이용제한이없으며 개인정보보호법등에 따른정보보호 제공에관한규제를적용 - 4 -

7 클라우드는아웃소싱의하나로 정보처리업무위탁 에해당하며 제공자는 전자금융보조업자 로서제한적으로감독을받음 ㅇ금융회사 전자금융업자는관련시스템을 비중요정보처리시스템 으로지정하고 정보처리업무위탁보고 후 금융권 클라우드서비스이용가이드라인 을준수하면서서비스이용가능 ㅇ ( 보조업자의책임 ) 클라우드서비스제공자의고의 과실은금융회사의 고의 과실로간주되고 이용자손해를금융회사와연대하여배상 ㅇ ( 금융회사준수사항 ) 클라우드서비스이용시아웃소싱에대한 보안 비상 백업대책등을수립운영하고보안점검을실시해야함 구분내용관련조항 금융회사 감독당국 해킹 개인정보유출등에대비한보안대책수립 시스템장애등서비스중단비상대책수립 업무지속성을위한중요전산자료백업대책수립 정보관리보안유지를위한내부통제방안수립운용 전자금융보조업자의재무건전성및서비스품질수준을연 회이상평가하고결과를감독당국 금감원 에보고 금융회사정보기술부문실태평가에전자금융보조업자의재무건전성및서비스품질수준평가여부반영 감독규정제 조제 항 제 항 감독규정제 조제 항 ㅇ ( 감독 검사 ) 금융회사의정보처리업무위탁계약시정 보완요구권 보조업자에대한수탁계약서 부속자료등의제출요구권보유 구분내용관련조항 금융위 정보처리업무위탁계약에대한시정 보완지시법 조 항 금감원 수탁계약서 부속자료등의직접제출요구 자료제출거부및부실자료제출시조사실시가능 진술서및관련장부 서류 물건제출 관계인출석등 법 조 항 항 항 클라우드서비스제공자와계약관계에있는금융회사가점검하며 금융당국의제공자에대한직접감독권은없음 - 5 -

8 < 해외제도현황 > 주요선진국은클라우드이용을직접규제하지않고 가이드라인을 통해자율준수토록하고있으며 감독방식은국별로차이가있음 ㅇ 영국싱가포르는금융당국의권고또는지침으로운영하고 미국은금융당국차원의특별한규정은없음 ㅇ주요국들은권고또는지침등을통해클라우드제공업체 보안및 감독관련내용을계약서에명시적으로포함하도록요구 다만 클라우드제공업체에대해 영국은직접감독하는반면 싱가포르미국은금융회사를통해간접적으로감독 전자금융 거래법상전자금융보조업자를감독하는방식과동일 국가명지침명및내용제정기관제정 발효 시기 클라우드제공자업무위탁에관한권고 중요업무위탁시클라우드제공자 서비스국가 저장위치등을관할당국에통보 금융회사 위임된제 자에게위탁업무와관련접근권및현장감사권부여등계약명시 은행청 월발효 영국 클라우드및제 자 아웃소싱관련지침 중요업무위탁시문서화된근거필요 클라우드제공자사업장관할지에따라영국법률규율여부확인 감사및규제권한보장 금융감독청 월제정 미국 아웃소싱클라우드컴퓨팅 소비자데이터가국외에서저장또는처리될경우해당국가관련규정확인 프라이버시법규관련책임 보안사고에대한보고의무등법적의무계약명시 검사협의회 월제정 싱가포르 아웃소싱가이드라인 클라우드제공자실사및위험관리수행 금융회사의클라우드제공자관리 감독책임 통화국 월제정 일반적으로금융회사가접근권 현장감사권등관리 감독책임을가지며 의경우감독당국의감독권확보 자료제공요구 도권고 - 6 -

9 Ⅲ. 그간의클라우드이용규제평가및개선방향 1. 클라우드이용측면 월 금융권클라우드도입시개인신용정보의민감성등을고려해중요도에따라정보를구분하고 비중요정보 에한해클라우드 이용을허용하면서안전성을지속테스트 클라우드활성화 단계조치 ㅇ지난 년간금융회사는내부업무처리등에어느정도비용절감효과를거둔반면 직접적인사업모델개발에는제한 외부저장장치로써의효과외에서비스적용 개발을위한 인프라로는적극활용하지못함 ㅇ핀테크기업은 설비구축과같은초기시장진입비용부담으로새로운아이디어를활용한창업및서비스개발에제약 반면 해외에서는이용상제한이없어클라우드로 서비스 출시기간을단축하는등경쟁력을강화하는추세 금융회사 핀테크기업이비용절감 생산성제고와동시에새로운 서비스를개발할수있도록클라우드이용범위를확대할필요 금융업권핀테크업계건의사항 지속 ㅇ개인신용정보를처리하는시스템의클라우드이용을제한하는전자금융감독규정개정을요구 은행금융투자등금융업권 핀테크 클라우드간담회 테크자문단회의 ㅇ핀테크기업의경우초기 인프라를갖추는기술진입과사용량증가등확장용이성이좋은클라우드를선호 핀테크기업 ㅇ신용정보관리 기술활용을위해빅데이터분석에클라우드서비스이용및관련회사추가데이터확보필요 카드사 ㅇ리스크업무와파생업무에고성능서버가필요 시장변동성이심한 와같은채널에클라우드적용이더욱필요한실정 금융투자회사 - 7 -

10 2. 개인정보보호측면 클라우드는금융회사가 자원을빌려서사용하는것으로서 개인정보의제공 유통과는관련이없음 ㅇ금융회사는개인정보를클라우드내에서만저장 활용할뿐 제공 유통하지않아개인정보남용 침해문제는발생하지않음 ㅇ현재개인정보보호법령상클라우드활용을금지하는규정은없으며 금융권아닌다른분야에서는클라우드를제한없이활용중 개인정보보호법 신용정보법을기준으로보호조치를강화하되 전자금융감독규정에만존재하는클라우드제한규정정비필요 3. 금융보안측면 금융보안의중요성 지정학적특수성을고려한사이버리스크에 대비한보안강화노력도필요ㅇ경제적이익을목표로한사이버침해공격이빈발하고있어방대한정보를보유하고있는금융분야의경우유출시피해규모등파급효과가큰점을고려해야함 - 8 -

11 ㅇ현재금융회사가클라우드이용시보호장치 가작동하고있으나 향후중요정보로확대시보다엄격한보안체계를구비할필요 특히 자본 설비가영세한핀테크기업은보안성을높일수 있는클라우드를활용하지못해보안수준이낮아경쟁력이취약 클라우드이용범위를확대하되 중요정보 에대한보호장치를 강화하고금융권자율보안수준을향상시킬필요 4. 관리 감독측면 클라우드서비스제공자는전자금융보조업자로서감독을받으나금융당국의직접감독대상은아님ㅇ현행전자금융감독체계는클라우드서비스제공자를포함한전자금융보조업자에대한직접감독권이미비 금융회사가전자금융보조업자에대해정기점검등을통해관리감독 클라우드이용확대조치와함께클라우드서비스제공자에대한 금융당국의감독방안을보강할필요 지난 년간금융권의클라우드활용경험 클라우드를활용한 기술 금융융합추세가속화등을종합적으로감안하여클라우드 이용확대방안을마련 관련규정정비후 월시행목표 클라우드이용확대와병행하여 금융권의보안수준및관리체계를강화해보안문제우려를해소하고 해외사례와같이관리 감독체계를보다효과적으로구축 - 9 -

12 Ⅳ. 클라우드활성화를위한제도개선방안 < 기본방향 > 1. 클라우드서비스이용범위확대 금융회사 핀테크기업이클라우드를활용하여혁신적상품과 서비스개발이가능하도록이용범위를확대 개인신용정보 고유식별정보도국내소재클라우드를이용할수 있도록개선 국외소재클라우드허용은국내소재클라우드운영이후문제점등을고려하여중 장기적으로검토 2. 클라우드서비스이용 제공기준마련 중요정보처리시스템의안전성을확보하기위해클라우드이용 금융회사 제공제공자시기준을도입하고운영방안을수립 금융회사 중요정보클라우드이용시안전성관리를강화 제공자 금융의특수성을반영해클라우드서비스제공자가 기본적으로준수해야할기준을마련 3. 클라우드서비스감독 검사강화 클라우드활용확대를고려하여금융권클라우드이용현황에 대한모니터링을강화하고 적절한감독 검사체계마련 클라우드서비스이용관련금융회사의보고의무강화 전자금융보조업자 클라우드서비스제공자에대한감독당국의직접감독조사권을확보하는방안을검토법개정사항

1. 클라우드컴퓨팅이용범위확대 금융회사와핀테크기업이클라우드를통해활용할수있는정보의범위를확대 비중요정보 개인신용정보 고유식별정보 ( 현행 ) 개인신용정보 고유식별정보 를제외한비중요정보처리 시스템에한하여클라우드서비스를활용가능 ㅇ단한건의개인신용정보 고유식별정보만있어도 이용이제한되어핀테크기업에게진입장벽 으로작용 클라우드의 또한

13 1. 클라우드컴퓨팅이용범위확대 금융회사와핀테크기업이클라우드를통해활용할수있는정보의범위를확대 비중요정보 개인신용정보 고유식별정보 ( 현행 ) 개인신용정보 고유식별정보 를제외한비중요정보처리 시스템에한하여클라우드서비스를활용가능 ㅇ단한건의개인신용정보 고유식별정보만있어도 이용이제한되어핀테크기업에게진입장벽 으로작용 클라우드의 또한 클라우드를이용하는핀테크기업은금융회사업무를위탁받아 서비스를테스트하는규제샌드박스활용도어려움 ㅇ금융회사등이 빅데이터등 기술을이용해새로운상품 서비스를개발 하는데개인신용정보를활용할수없어제약 클라우드기반의 알고리즘을이용해고객질의에응대할경우 맞춤형서비스를제공하지못하고단순상담 챗봇 에국한 클라우드를통해신용평가 심사 리스크분석 금융사기등이상 징후분석시빅데이터를활용할수없어단순트렌드분석만가능

14 ( 개선 ) 개인신용정보 고유식별정보를처리하는중요정보처리 시스템도클라우드를활용할수있도록규제를개선 ➊ 현재전자금융감독규정에만존재하는클라우드제한규정을 정비해이용범위를확대 비중요정보 개인신용정보 고유식별정보 개인신용정보도클라우드를적극활용할수있도록함으로써 금융회사 핀테크기업의혁신상품 맞춤형서비스개발을활성화 나아가고유식별정보활용시일시적거래량집중에장애없이 금융서비스를제공할수있고 기반대화형뱅킹서비스도가능 ➋ 사고발생시법적분쟁 소비자보호 감독관할 개인정보보호등의 문제로국내소재클라우드에한해우선허용 국외는중장기검토 ➌ 다만 개인신용정보 고유식별정보는클라우드활용여부와상관없이 개인정보보호법 신용정보법등개인정보보호법령에따라보호 관리 개인정보보호법 신용정보법상보호조치 신용정보법제 조등 신용정보위탁제공시암호화등보호조치준수 위탁업무범위를초과한이용금지 수탁자교육 재위탁금지등 개인정보보호법제 조 제 자업무위탁시목적외개인정보처리금지 기술적 관리적보호조치준수 수탁자관리 감독의무등 개인정보보호법제 조및제 조의 암호화등안전성확보조치준수

15 < 예시 > 클라우드이용범위에따른금융권적용사례 클라우드이용 AI 활용대고객서비스 ( 챗봇등 ) 빅데이터분석 인터넷뱅킹 HTS 등 재해복구센터구축 고성능컴퓨팅 ( 파생상품개발, 보험손해액산정등활용 ) 대고객신규서비스구축 ( 신규모바일앱및뱅킹서비스, 홈페이지등 ) 콜센터, CRM( 고객관리 ) 등 오픈 API 제공 혁신서비스테스트 확대前 비중요정보만가능 ( 현행 ) 이용불가 이용불가 이용불가 이용불가 이용불가 이용불가 개인신용정보 고객편의성 분석실효성 사실상제약 이용불가 사실상제약 확대後 비용절감효과 개인신용정보 + 고유식별정보 고객편의성 분석실효성 관리효율성 비용절감효과 서비스출시기간 최신서비스활용 서비스확장성 비용절감효과

16 2. 클라우드서비스기준도입 클라우드서비스이용을확대하되 금융보안의중대성을고려해금융권클라우드서비스이용 제공기준을수립 운영 ( 현행 ) 비중요정보처리시스템에한하여클라우드의이용이가능하도록물리적망분리 의예외를인정 ㅇ 비중요정보 는 금융권클라우드이용가이드 상보호조치를준수하도록하고 개인신용정보등 중요정보 의경우이용을제한 ( 개선 ) 중요정보처리시스템의안전성을확보하기위해클라우드이용 금융회사 제공 제공자 시기준을도입하고운영방안을수립 ➊ 클라우드서비스이용 제공기준마련 금융권클라우드서비스가이드라인 금융회사 중요정보클라우드이용시정보보호의무준수 서비스제공자관리 감독 중요장비이중화등안전성관리를강화 금융회사의서비스도입검토 이용계약 운영관리 사후처리등모든과정에서필요한클라우드관리및보안요구사항을포함 제공자 금융특수성을반영해금융회사수준의시스템구축 운영 암호화적용등클라우드서비스제공자가준수해야할기준을마련 중요정보 의경우기존금융권전산시스템과유사한수준의보안요구사항을제공기준에반영하여사고발생을미연에방지 책임명확화 금융회사와제공자간클라우드이용계약체결시개인정보유출 전자적침해사고등에대한책임소재를명확히규정

17 클라우드제공관련규정 > 클라우드컴퓨팅서비스정보보호에관한기준고시 과기정통부 주요통제항목 구분주요통제항목내용 관리적보호조치 물리적보호조치 기술적보호조치 정보보호정책 인적보안 자산관리 공급망관리 침해사고관리등 보안구역지정 물리적접근제어 시설보호 장비반출입등 가상화보안 접근통제 네트워크보안 데이터보안 암호화등 정보보호정책타당성및효과검증 직무분리 자산식별및위험관리 침해사고대응절차수립등 물리적보호구역지정 출입통제 보호설비구비 시설및장비유지보수 장비반출입통제등 가상자원모니터링 악성코드통제 접근권한관리 네트워크분리 데이터보호 무결성확인 암호정책수립등 공공기관용클라우드컴퓨팅서비스추가보호조치 과기정통부 구분세부조치사항 보안서비스수준협약 ㅇ공공기관의보안요구사항이반영된보안서비스수준협약ㅇ클라우드서비스관련정보보호정보를공공기관에제공 공공기관 보안요구사항 관리적보호조치 물리적보호조치 기술적보호조치 도입전산장비안전성 보안관리수준 사고및장애대응 물리적위치및분리 중요장비이중화등 검증필암호화기술 ㅇ서버 가상화솔루션및정보보호제품중에 인증이필수적인제품군은국내 외 인증을받은제품을사용 ㅇ클라우드운영장소및망은공공기관내부정보시스템운영보안수준에준하여보안관리 ㅇ사고또는장애발생시공공기관사고 장애대응절차에따라대응하고 공공기관의사고 장애대응에적극협조 ㅇ클라우드시스템및데이터의물리적위치는국내로한정ㅇ공공기관용클라우드의서버 네트워크 보안장비 출입통제 운영인력등은일반클라우드서비스영역과분리하여운영 ㅇ네트워크스위치 스토리지등중요장비를이중화ㅇ서비스의가용성을보장하기위해백업체계를구축 ㅇ중요자료를암호화하는수단을제공하는경우에는검증필국가표준암호화기술을제공 보안관제 ㅇ공공기관에클라우드서비스보안관제수행에필요한제반 제반환경지원 환경을지원하여야함 금융권특화보안기준 예시 클라우드시스템및데이터의물리적위치를국내로한정 금융회사및위임된제 자에게관련접근권및현장감사권부여 클라우드서비스중단및데이터소실에대비한금융권백업체계마련 취약점분석평가 비상대응훈련 통합보안관제에필요한제반환경지원 침해사고및장애발생에따른보고절차준수및조사대응 건물 전원공조 전산실등에대하여금융회사수준의구축및운영

18 ➋ 금융분야클라우드 서비스기준운영방안 자율통제또는인증제 클라우드서비스이용 제공기준을토대로 금융회사자율적으로클라우드이용을결정하는방식 등해외방식 또는 금융클라우드인증제도입방식 국내공공클라우드방식 을검토 동방식은금융권클라우드서비스이용활성화를위한제도 개선 월중출범 를통해검토추진 < 금융분야클라우드서비스이용제공방안 > 안 금융분야클라우드서비스기준을통한자율통제방식 금융권클라우드서비스제공시관련기준등을가이드로마련하고해당가이드에대해금융회사등이자율적으로준수토록통제 ㅇ클라우드사고발생시보상 사고대응체계구축등금융권클라우드사용에특화된내용을금융회사가내부통제절차에따라관리 감독 안 금융분야특화클라우드서비스인증평가방식 금융분야클라우드보안서비스인증제를도입하고 보안성평가를통과한클라우드컴퓨팅사업자를통해서비스제공 ㅇ과기정통부의경우클라우드보안서비스인증제 를통해공공기관의민간클라우드서비스이용을허용 금융회사클라우드이용방안별분석 구분클라우드서비스자율통제방식금융분야인증클라우드 장점 단점 신속 저렴한서비스 다양한사업자이용 보안사고우려상존 보안관련금융회사투자필요 사업자관리 감독어려움 신뢰성보장 금융회사서비스이용용이 사업자관리 감독문제해소 별도인증체계확보필요 제도준비기간소요 년소요예상

19 3. 클라우드서비스이용감독 검사강화 금융회사클라우드서비스이용관련보고의무를강화하고 클라우드서비스제공자에대한감독 조사업무근거를마련 ( 현행 ) 금융회사가전자금융보조업자 클라우드와계약시전자금융거래의안전성 신뢰성확보를위해일정기준을준수토록요구ㅇ클라우드제공업체에대한감독당국의직접감독권한은없으며 금융회사가클라우드이용시보안대책을수립하고정기점검실시 ( 개선 ) 금융회사를통한간접감독을강화하는한편 법령개정을 통해전자금융보조업자에대한감독 조사근거를마련 ➊ ( 보고의무화 ) 금융회사클라우드이용시주요내용보고를의무화 신용정보의클라우드이용시위탁주요사항등에대한금융 회사의보고의무를부여하여감독당국상시모니터링을강화 금융회사규모 자산규모 고객수 위탁정보종류 중요정보여부 및 처리량등에따라보고의무를차등화하는방안을검토 금융회사의클라우드이용보고 예시 가 중요정보 클라우드이용보고 클라우드서비스제공자 데이터저장위치 정보처리현황 정보유형 정보량 등주요사항을감독당국에보고 나 비중요정보 라도감독당국요청시보고 클라우드유형등위탁계약관련최신정보를유지하고감독당국요청시제공

20 ➋ ( 직접감독 조사 ) 전자금융보조업자에대한감독당국의직접 감독 조사근거를마련하는방안을검토 침해사고 장애발생시정확한원인분석을위해자료수집및 현장검사등직접감독 조사업무근거를마련 현행규정상클라우드서비스제공자 보조업자 에대한 조사권 에 현장출입권등을부여 법제 조제 항 감독규정제 조개정 < 금융권클라우드이용확대 단계별추진계획 >

21 Ⅴ. 기대효과 핀테크기업들이특별한제약없이클라우드를활용해서적은 비용으로쉽게혁신서비스를개발할수있는여건을마련 ㅇ보안성을확보한클라우드를통해핀테크기업은초기시스템 구축 관리비용부담을덜고 핀테크서비스안전성은향상 금융권은클라우드플랫폼을이용해서빅데이터및인공지능 기술을보다자유롭게테스트하고혁신적인서비스를출시 ㅇ복잡해지는국내외금융규제환경변화에도빠르고유연하게대응 사례 플랫폼구축시클라우드를통해비용부담을줄이고 보험계리분석 회계관리 투자분석프로그램등을쉽게이용 금융회사 핀테크기업이클라우드를활용해협력을강화하고 각자의강점을발휘함으로써국내금융산업경쟁력도향상 Ⅵ. 향후계획 금융권클라우드제도개선 구성 월 ㅇ감독규정개정안마련 업계 전문가의견수렴 간담회등 월 월 금융권클라우드서비스가이드라인 개정 월 전자금융감독규정개정안시행 월 예정

참고 2 국가별금융권클라우드규제현황 (EU) 유럽은행청 은클라우드이용자유의사항등을명시한 클라우드제공자업무위탁에대한권고를발표 월발효 ㅇ금융회사는위탁대상업무에대한중요도평가를통해중요업무선별 중요업무를클라우드제공자에위탁시 클라우드제공자의법인명 클라우드서비스수행국가및데이터저장위치등을관할당국에통보

22 참고 2 국가별금융권클라우드규제현황 (EU) 유럽은행청 은클라우드이용자유의사항등을명시한 클라우드제공자업무위탁에대한권고를발표 월발효 ㅇ금융회사는위탁대상업무에대한중요도평가를통해중요업무선별 중요업무를클라우드제공자에위탁시 클라우드제공자의법인명 클라우드서비스수행국가및데이터저장위치등을관할당국에통보 중요업무여부와관계없이클라우드유형등위탁계약관련최신정보를유지하고관할당국에서요청시제공해야함 ㅇ금융회사및위임된제 자에게위탁업무관련접근권및현장감사권을부여하도록클라우드제공자와서면으로계약체결할것 ㅇ정보전송시정보보호의무및서비스연속성보장등의보안요구사항을위탁계약에명시적으로포함 위탁결정전보안관련사항을확인하고 위탁후보안조치이행모니터링등관련위험관리실시ㅇ클라우드제공자가위치하는국가에서요구하는컴플라이언스및법적위험성에대한평가를통해위탁하는데이터처리위치고려 ( 영국 ) 금융감독청 에서금융회사의클라우드이용 퍼블릭 클라우드포함 명시적허용및컴플라이언스의무등을명시한 클라우드및제 자 아웃소싱관련지침을발표 월 ㅇ 법적요구사항 중요업무아웃소싱시해당결정의근거가되는문서화된명확한비즈니스사례또는이유를보유 아웃소싱이기업의운영리스크를악화시키지않도록하고 정확한계약기록을유지 제공자사업장관할지를파악 영국법률에의한규율여부확인 그렇지않은경우해당사업장감사및규제권한등보장 데이터보호법 년 준수 이를통해발생할수있는법적또는규제의무및요구사항고려 핸드북 아웃소싱관련 등준수 ㅇ 리스크관리 리스크평가실시및기록 전반적인법적운영리스크파악 제공자파산시 데이터유출시조치방법등고려 ㅇ 보안 실사감사등진행시 등국제표준준수 제공자자산등에대한보안리스크평가 진행 데이터거주정책확인 데이터유출시보고절차준수 데이터분리저장현황확인 데이터민감도를고려한전송및저장시암호화등 ㅇ 기타 효과적인데이터접근 제공자의사업관할지 접근등 사업관할지가사무실 운영센터등이될수있으나 데이터센터를반드시포함하지는않음 일부사업자는보안상데이터센터접근제한가능

23 ( 미국 ) 검사협의회 에서금융권클라우드이용시주의사항을 명시한아웃소싱클라우드컴퓨팅을발표 월 ㅇ다른클라우드이용자와데이터저장소가공유되는경우 금융기관의데이터에대한무결성과기밀성보호를위한서비스제공자의통제사항확인 재해복구 및업무연속성계획 의적절성확인 ㅇ소비자데이터가국외에서저장또는처리될경우 해당국가의관련규정확인 ㅇ클라우드컴퓨팅서비스제공자와계약시금융기관의프라이버시법규관련책임 보안사고시보고의무 정보유출시소비자및당국에보고해야하는법적의무등명시 ( 일본 ) 금융당국의지침등은없으나자율규제기구인 의 시스템안전대책기준해설서 클라우드통제항목명시 ㅇ클라우드서비스를이용시아래의안전대책을강구 클라우드제공자거점이금융회사가통제가능한지역에소재할것 클라우드이용계약시금융회사의감사권한등권리를명기할것 클라우드제공자에대한정지적감사를실시할것 금융회사의클라우드제공가잔책임범위를명확히설정할것등 ( 싱가포르 ) 통화국 는클라우드서비스도아웃소싱의하나로 명시하고아웃소싱가이드라인 월 준수토록규정 ㅇ클라우드이용시금융회사는클라우드제공자에대한실사를실시하고 가이드에명시된아웃소싱위험관리를수행 ㅇ데이터가혼재되어있는클라우드의특성을인식하여아래의보안조치이행 데이터접근 기밀성 무결성보장등을위한금융회사의적극적조치 클라우드제공자가적정한통제를통해고객데이터를명확히분리하는지확인등 ㅇ금융회사는클라우드제공자를관리감독하고도입에따른궁극적책임을부담등 ( 호주 ) 금융감독청 은아웃소싱규정 및공유컴퓨팅 서비스 클라우드포함 관련아웃소싱에대한정보사항 월 을통해금융회사의클라우드이용시통지의무등을명시 ㅇ중요아웃소싱경우에한해국내는 에통지하고 국외또는내재된위험이높을경우 와사전협의할것을권고

24 참고 3 국내외금융권클라우드서비스이용현황및계획 금융회사 금융그룹신한금융그룹우리은행 현황및계획 전체서버의 를클라우드로운영 하이브리드방식 년까지 로확대할계획 년중반부터클라우드이전작업시작 년말까지 개어플리케이션이전예정 인프라의 를클라우드로운영 프라이빗방식 년 까지확대목표 인프라의약 를클라우드로이전 년까지 로확대목표 과클라우드서비스 및 이용계약 년 체결 과클라우드서비스이용계약 년 체결 인공지능플랫폼왓슨사용포함 과클라우드서비스이용계약체결 이전에약 년소요예상 클라우드서비스이용증가로은행데이터센터축소계획 개 년 개 빅데이터시스템의클라우드운영을위해구글과협의진행 년부터클라우드인프라도입추진 퍼블릭클라우드를이용한차세대작업환경구축추진 년에프라이빗클라우드 도입 향후 년간매년 배씩클라우드이용비중증가계획 클라우드서비스이용증가로 년에 개데이터센터폐쇄 보안민감성이낮은업무를중심으로퍼블릭클라우드이용검토 클라우드로의이전을통해 개서버를제거 년까지 만대를제거하고모바일환경으로이전계획 클라우드기반 시스템도입 아마존클라우드기반메시지뱅킹서비스플랫폼사용 미국및일본지점에서클라우드서비스도입추진 미국지점인터넷뱅킹플랫폼을아마존클라우드에구축 은행고유의메시징시스템을클라우드환경에서운영

ㅇ ㅇ

ㅇ ㅇ ㅇ ㅇ ㅇ 1 ㆍ 2 3 4 ㅇ 1 ㆍ 2 3 ㅇ 1 2 ㆍ ㅇ 1 2 3 ㆍ 4 ㆍ 5 6 ㅇ ㆍ ㆍ 1 2 ㆍ 3 4 5 ㅇ 1 2 3 ㅇ 1 2 3 ㅇ ㅇ ㅇ 붙임 7 대추진전략및 27 개세부추진과제 제 5 차국가공간정보정책기본계획 (2013~2017) 2013. 10 국토교통부 : 2013 2017 차 례 제 1 장창조사회를견인하는국가공간정보정책