차세대시스템 안정성 확보를 위해 이용자 정보를 사용한 사전 정합성 검증 가능여부

□ 차세대 시스템의 오픈(2018년) 前 시스템의 안전성 확보를 위해 아래와 같이 이용자 정보를 사용하여 사전 정합성 검증을 실시하는 것이 전자금융감독규정 제13조제1항제10호 위반에 따른 조치대상에 해당하는지 여부 ① 통합테스트 단계에서는 대외기관과의 연계 테스트 및 계좌/고객 단위의 상호 검증을 위해 고객번호, 계좌번호, 카드번호를 미변환하여 사용 ② 영업점테스트 단계에서는 전체 이용자정보를 미변환하여 특정 거래일에 발생한 금융거래를 구축 중인 전환시스템을 이용하여 재수행하고 그 결과를 상호 비교 ⇒ 미변환 이용자 정보는 실제 운영시스템과 동일한 수준의 보안대책 및 내부통제기준을 적용한 검증 시스템(Pre-Production)에서만 사용하며, 개발시스템은 이용자 정보 전항목을 모두 변환처리함

□ 동 규정의 취지가 전산자료 유출 방지 및 전자금융거래의 안전성 확보라는 점을 고려할 때 ◦ 시스템의 안전성 확보를 위해 부득이하게* 이용자 정보를 테스트 용도로만 제한하여 사용한 후 즉시 삭제하는 한편, * 정합성 검증은 실제 발생한 거래지시를 전환시스템으로 재처리하고 그 결과를 실거래 데이터와 비교하는 절차로 이용자 정보·실거래 데이터 없이 효율적인 검증 곤란 ◦ 외부주문에 대한 보안관리방안** 및 실제 운영시스템과 동일한 수준의 보안 대책***을 적용하는 등 검증 작업시 정보 유출을 방지하기 위한 내부통제기준을 마련한 경우에 한하여 이용자 정보를 사용한 정합성 검증이 가능할 것으로 보입니다. ** 전자금융감독규정 제60조①항7호 및 동 시행세칙 제9조의2①항 *** 비인가 전산장비·무선통신 접속 통제, 해킹 방지대책, 악성코드 감염 방지 대책, 사용자 권한 및 비밀번호 설정·운영, 이용자 비밀번호 암호화 등