내부망 서버에서 전용선(또는 VPN)으로 연결된 클라우드서비스를 이용하는 것이 망분리 위반인지 여부

□ 금융회사가 내부통신망에 위치한 정보처리시스템과 외부통신망에 위치한 클라우드컴퓨팅서비스*를 전용선 또는 VPN으로 연결하여 이용하는 것이 전자금융감독규정 제15조제1항제5호 위반인지 여부 * 클라우드컴퓨팅서비스(IaaS) 제공자 구간의 내부망 정보처리시스템은 인터넷 및 외부기관과 통신망을 분리하고, 고유식별번호 및 개인신용정보를 처리하지 않음 o 클라우드컴퓨팅서비스 제공자 구간의 정보처리시스템에 연결된 통신망을 인터넷 등 외부기관과 분리한 방식(논리적/물리적)에 따라 위반여부가 달라지는지 여부 o 클라우드컴퓨팅서비스 제공자 구간의 정보처리시스템에서 처리하는 업무(비중요/중요)에 따라 위반 여부가 달라지는지 여부

□ 전자금융감독규정 제15조제1항제5호는 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리할 것(이하 “물리적 망분리”)을 규정하고 있고, o 전자금융감독규정 제14조의2제8항은 동조제1항의 절차를 거친 클라우드컴퓨팅서비스 제공자의 정보처리시스템이 위치한 전산실에 대하여 물리적 망분리 규정의 적용을 예외로 하고 있습니다. □ 문의하신 사실관계 하에서 귀사가 내부통신망에 위치한 정보처리시스템을 인터넷 등 외부통신망으로부터 물리적 방식 외의 방법으로 분리차단한 귀사 전용 클라우드컴퓨팅서비스와 전용선 또는 VPN으로 연결하는 것은 ?전자금융감독규정? 제15조제1항제5호에 위반하지 않습니다. o 다만, 인터넷에 연결되지 않더라도 귀사의 클라우드가 귀사의 통제범위를 벗어난 영역과 연결되거나 내부 사용자가 아닌 제3자 등의 접속을 허용하는 경우에는 외부통신망과 분리차단 및 접속금지 조치하였다고 볼 수 없으므로 동 규정에 위반합니다. ? ?전자금융감독규정? 제14조의2제8항에 따르면 클라우드컴퓨팅서비스 제공자의 정보처리시스템은 인터넷 등 외부통신망에 대한 물리적 망분리 규정을 적용받지 않아 방화벽 설치 등의 적정한 방법으로 망을 분리(논리적)할 수 있으므로 분리 방식에 따라 위반여부가 달라지지 않습니다. ? ?전자금융감독규정? 제15조제1항제5호는 클라우드컴퓨팅서비스 제공자 구간의 정보처리시스템에서 처리하는 업무가 비중요업무 혹은 중요업무인지에 따라 다르게 적용되지 않습니다.