금융 클라우드 이용절차 준수 및 개인(신용)정보 국외이전 안전조치 쟁점

핵심 판단

중요 정보처리시스템의 클라우드 전환 시 사전 이용절차(안전성 평가·CISO 보고)를 이행했는지, 해외 리전에 개인(신용)정보를 저장하는 경우 국외이전 요건(고지·동의 또는 법정 근거·안전성 확보)을 충족했는지가 핵심이다.

배경

AWS·Azure·SaaS 도입이 확대되며 CSP 안전성 평가와 이용절차를 생략하거나, 해외 리전 저장에 따른 국외이전 절차를 누락하는 사례가 늘고 있다. SaaS의 경우 개발/운영 단말의 외부 직접 통신 통제도 함께 문제된다.

주요 쟁점 및 심사 포인트

• 중요업무 클라우드 전환 전 안전성 평가 및 내부 이용절차 이행 여부
• 해외 리전 저장 시 국외이전 법적 근거·고지·동의·안전성 확보조치 여부
• 클라우드 관리콘솔 접근통제·SaaS 연계 단말 통제 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.10.2 클라우드 보안
• 3.3.4 개인정보의 국외이전
• 2.3.1 외부자 현황 관리
• 1.4.1 법적 요구사항 준수 검토

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「전자금융감독규정」 제14조의2(클라우드컴퓨팅서비스 이용절차)
  • 금융회사·전자금융업자가 클라우드 이용 시 중요도 평가·안전성 평가·이용계약 관리 등 절차 준수 의무.
• 「개인정보 보호법」 제28조의8(개인정보의 국외 이전)
  • 국외이전은 동의·법령·계약상 필요 등 법정 요건 및 보호수준 확보 시 허용 → 리전 위치 확인 필수.(2023 개정 신설, 최신본 확인 권장)
• 「클라우드컴퓨팅서비스 보안인증에 관한 고시」(CSAP)
  • 공공/일정 분야 클라우드 이용 시 보안인증 획득 서비스 이용 → 대상 여부 확인.

참고 가이드

• 금융분야 클라우드컴퓨팅서비스 이용 가이드(금융보안원)
• 「개인정보 처리 통합 안내서」 국외이전 부분

심사 시 확인사항 (증적)

• 클라우드 중요도·안전성 평가 보고서 및 CISO 보고/이사회 결재
• 데이터 저장 리전·이전 항목·국외이전 고지/동의 증적
• IAM·관리콘솔 접근권한 및 MFA, 개발단말 통신통제 정책

주요 결함 사례

CISO 평가 및 클라우드 이용절차 없이 해외 SaaS 기반 고객관리 시스템에 고객 개인(신용)정보를 등록·저장함(국외이전 고지·동의 누락).

보완 대책

1. 클라우드 사전 보안성 평가 체계 수립 및 중요도별 승인 절차 정립
2. 국외이전 항목·목적·국가·이전방법 고지 및 동의/법적근거 확보, 처리방침 반영

연관 쟁점

• [ISSUE-034] 클라우드 IAM 과도 권한 부여 및 Secret 노출 쟁점
• [ISSUE-018] 제3자 제공과 처리위탁 구분 및 동의 철회 연동 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)