ISMS-P WIKI문서를 불러오고 있습니다
요청한 자료와 최신 연결 정보를 확인하고 있습니다.
인증기준, 공식 자료, 쟁점과 사례를 메뉴와 출처 단위로 좁혀 찾습니다.
제목·요약·본문 전체에서 위키의 모든 문서를 찾습니다. 검색어는 공백으로 나눠 쓸 수 있고 결과는 메뉴·출처·자료 유형으로 좁힐 수 있습니다.
□ 신규 시스템 구축으로 인한 데이터 이관 과정에서 데이터 정합성 검증 주1) 목적으로 현행 운영시스템과 동일한 수준의 내부통제가 적용된 별도의 환경 주2) 에서 변환하지 않은 이용자 정보를 사용하여 검증작업 주3) 을 실시하는 것이 전자금융감독규정 제13조제1항제8호 위반에 따른 조치대상에 해당하는지 여부 주1) 기존 시스템에 저장된 데이터를 신규시스템으로 이관하는 과정에서 데이터 보정 등 정제 작업 및 형식 변경 작업 등을
□ 그간 가상자산사업자는 이용자의 거래정보*(이하 “거래정보”)를 「개인정보보호법」에 따라 처리 및 보호해왔으나, 거래정보가 「신용정보의 이용 및 보호에 관한 법률」(이하 “신용정보법”)상 ‘신용정보’(§2①·1) 및 ‘개인신용정보’(§2①·2)에 해당한다는 금융위원회 법령해석(240423, ’24.12.2.)에
□ 가상자산사업자가 이용자 자산인 특수관계인이 발행한 가상자산 A를 보관하는 행위
□ 금융회사가 내부통신망과 분리·차단된 상태에서 인터넷을 사용할 수 있도록 외부 연결되어 있는 가상PC를 통해 생성형 AI(SaaS)를 접속·이용*하는 것이 전자금융감독규정 제15조제1항제3호 위반에 따른 조치대상인지 여부 * 접속·이용과정에서 내부정보 유출 혹은 악성코드 유입 등을 방지하기 위해 동 단말에 웹격리솔루션**을 통한 간접 접속 방식을 적용하여 추가적인 보안통제 이행 ** 단말기와 격리된 가상 환경에서 브라우징을
□ 금융회사가 전산시스템 개발업무를 위탁하는 개발사에 클라우드 기반의 개발 환경을 제공하는 경우 금융회사가 전자금융감독규정 제14조의2에 따른 클라우드서비스 이용절차 등을 준수해야 하는지 여부
□ 데이터센터 이전 사업에 따라 통합 테스트를 수행*하는 과정에서 계정계 중요시스템의 연계 및 성능 테스트, 데이터 정합성 검증 목적으로 미변환된 이용자 정보를 사용**할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 계정계 중요시스템 운영환경과 동일하게 폐쇄망 형태로 임시 테스트 환경을 구축하여 시스템 전문 연계, 성능, 가용성 테스트 및 사용자 단말을 통한 업무 테스트 수행 ** 전문 연계
□ 금융그룹 전산센터 내에 별도 통제구역*을 마련하여 각 계열 금융회사(위탁사) 정보보호시스템에 1대1로 직접 접속하는 단말기를 설치하고 해당 단말기와 각 계열 금융회사의 내부통신망을 전용회선으로 연결한 환경에서, * 해당 구역은 별도 출입통제 및 전산기기 반?출입통제, 단말통제 등 보안대책 적용 o 금융그룹 전산센터에 상주하는 전산자회사(수탁사) 직원이 해당 단말기를 통하여 정보보호시스템 정책 등을 운영하는 경우 「전자금융감
□ 금융회사의 애플리케이션(APP) 내에서 외부 제휴사의 키워드 정제 서비스*를 이용자에게 제공하는 경우, 금융회사의 정보처리 업무 위탁에 관한 규정 및 전자금융감독규정 제14조의2에 따른 클라우드컴퓨팅 이용절차가 적용되는지 여부 * 이용자가 앱의 검색창에 글자를 입력하면 이용자 단말과 외부 제휴사 클라우드 서버 간 API 통신을 통하여 정제된 검색어가 단말로 전송되어 이용자가 검색어를 선택 가능
□ 전자금융업자 등록 예정인 회사의 부서장이 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제45조의3에 따른 정보보호 최고책임자 및 「개인정보 보호법」 제31조에 따른 개인정보 보호책임자로 지정되어 있는 경우에도 o 「전자금융거래법」 제21조의2 제2항 및 동법 시행령 제11조의4(개정 전 제11조의3) 제1항에 따라 정보보호최고책임자를 임원(「상법」 제401조의2제1항제3호에 따른 자를 포함한다)으로 지정하여야 하는지
□ 금융회사가 IT직원의 상주 근무를 목적으로 영업점에 물리적 통제를 적용한 별도 공간을 마련하여 정보처리시스템에 운영, 개발, 보안 목적으로 직접 접속하는 단말기를 설치하고, 해당 단말기와 전산센터를 전용회선으로 연결하는 등 본점 수준의 통제를 적용하는 경우 「전자금융감독규정」 제15조제1항제5호에 위반하는지 여부
□ 금융회사가 신규 서비스 이행 전 성능 테스트 및 데이터 정합성 검증을 위하여 재해복구시스템 내 백업원장*을 활용한 테스트 환경을 임시로 구축하고 이용자 정보를 변환하지 않고 사용할 경우 「전자금융감독규정」 제13조제1항제10호 위반에 따른 조치대상에 해당하는지 여부 * 전자금융감독규정 제23조제8항에 따라 구축한 재해복구시스템 내 백업된 전산원장부재
□ 금융회사가 계열사인 해외법인*으로부터 수탁한 정보처리시스템 운영업무를 수행하기 위하여 금융회사의 내부업무를 위한 통신망과 수탁업무를 위한 통신망을 물리적으로 분리하는 등 독립적으로 원격접속 환경을 구성하는 경우 전자금융감독규정 제15조제1항제5호를 반드시 준수해야 하는지 여부 * 해당 법인이 소재한 국가는 국내 전자금융감독규정과 같이 금융회사 등의 내부통신망을 인터넷 등 외부통신망으로부터 분리, 차단할 것을 요구하는 별도
□ 대고객 채널 시스템을 재구축 및 통합테스트를 수행하면서 데이터 이행 및 정합성 검증 용도*로 내부통제**가 적용된 별도의 영역***에서 미변환된 이용자 정보를 사용하는 것이 전자금융감독규정 제13조제1항제10호에 따른 조치대상에 해당하는지 여부 * 업무특성상 다수 회원/고객사와 연관된 예외적인 데이터 구조가 많아 단순 변환된 개발용 정보로 테스트를 수행할시 데이터 일관성 및 정합성 오류가 과도하게 발생하는 상황 ** 테스트
□ 금융회사가 전자금융거래와 관련이 없는 대고객 서비스*를 제공하기 위하여 외부통신망에 위치한 SaaS를 API 형태로 이용하는 경우 전자금융감독규정 제14조2에 따른 클라우드컴퓨팅서비스 이용절차를 준수하여야 하는지 여부 * 외부에 공개된 뉴스, 재무 정보 등을 AI서비스를 통해 요약하여 고객에게 제공하거나 AI서비스를 활용한 챗봇으로 고객 문의에 대응하는 등의 서비스
□ 금융회사가 내부통신망에 위치한 정보처리시스템과 외부통신망에 위치한 클라우드컴퓨팅서비스*를 전용선 또는 VPN으로 연결하여 이용하는 것이 전자금융감독규정 제15조제1항제5호 위반인지 여부 * 클라우드컴퓨팅서비스(IaaS) 제공자 구간의 내부망 정보처리시스템은 인터넷 및 외부기관과 통신망을 분리하고, 고유식별번호 및 개인신용정보를 처리하지 않음 o 클라우드컴퓨팅서비스 제공자 구간의 정보처리시스템에 연결된 통신망을 인터넷 등 외
□ 금융회사가 IDC 서버 유지보수 및 형상관리 업무 목적으로 내부 업무용 시스템에 연결된 단말을 서버 접속용 가상PC(VDI)에 연결하여 가상사설망(VPN) 방식으로 전산센터 내 정보처리시스템에 접속하는 경우 전자금융감독규정 제15조제1항제5호 위반인지 여부
□ 금융회사가 IDC 서버 유지보수 및 형상관리 업무 목적으로 내부 업무용 시스템에 연결된 단말을 서버 접속용 가상PC(VDI)에 연결하여 가상사설망(VPN) 방식으로 전산센터 내 정보처리시스템에 접속하는 경우 전자금융감독규정 제15조제1항제5호 위반인지 여부
□ 금융회사가 내부통신망에 위치한 정보처리시스템과 외부통신망에 위치한 SaaS* 간에 DMZ 구간에 위치한 웹서버를 통해 API를 중계하는 방식으로 데이터를 실시간 송수신하는 경우 이를 금융회사 내부통신망과 외부통신망 간의 통신으로 볼 수 있는지 여부 * 고객정보를 기반으로 개인화 마케팅 등의 기능을 제공하는 클라우드 기반 솔루션으로 특정 회사 전용이 아닌 다수의 회사가 인터넷을 통해 접속 가능한 형태의 서비스
□금융회사의 내부통신망과 외부통신망이 물리적으로 분리된 환경에서 망간 자료전송시스템을 이용하여 업무자료를 교환*하는 경우 전자금융감독규정 제15조제1항제5호에 위반하는지 여부 * 내부통신망과 외부통신망에 각각 위치한 자료전송시스템 서버 간에 실시간 스트리밍 방식이 아닌 파일 전송 방식으로 자료 교환
□ 금융회사가 내‧외부통신망이 물리적으로 분리된 환경에서 대고객 데이터 요약 서비스* 제공을 위하여 DMZ 구간에 위치한 중계서버를 통해 내부통신망에 위치한 서버와 외부 서비스를 실시간으로 연결하는 것이 전자금융감독규정 제15조제1항제5호 위반인지 여부 * 금융, 경제 관련 뉴스 등 인터넷에 공개된 정보를 요약하여 고객에게 전달하는 서비스
□ 금융회사가 내‧외부통신망이 물리적으로 분리된 환경에서 DMZ 구간에 위치한 서버가 생성*한 파일을 망연계솔루션을 통하여 내부망 서버로 전송**하는 것이 전자금융감독규정 제15조제1항제3호 및 제5호 위반인지 여부 * 국가법령정보센터 등에서 최신 법령정보 및 업무규정 변경사항을 수집‧가공(xml, json) ** 실시간 데이터 연계가 가능한 스트리밍 방식이 아닌 파일 송수신 방식
□ 금융회사가 내부통신망을 사용자/업무 기준에 따라 논리적으로 분리*하여 구성할 경우 전자금융감독규정상 망분리 규정에 위반하는지 여부 * SDN(Software Define Network)을 적용하여 VRF(Virtual Router Forwarding) 기반으로네트워크 분리
□ 금융회사가 내부통신망과 연결된 내부 업무용 PC(인터넷망과 물리적 분리)에서 내부 개발/테스트 회선에 연결된 가상PC(타 회선과 물리적 분리)에 접속하여, 현업사용자에 의한 프로그램 테스트를 실시하는 경우 전자금융감독규정 제15조제1항제5호에 위반하는지 여부
□ 금융회사가 가맹점 계약서 등 관리를 위하여 OCR 및 신분증 진위여부 확인 서비스를 제공하는 외부 협력업체의 서버와 내부 정보처리시스템을 전용선 또는 VPN으로 연결하는 경우, ◦ ｢ 전자금융감독규정시행세칙 ｣ 제2조의2제2항제2호가목에 따른 망분리 적용 예외에 해당하는지 여부 ◦ 연결대상이 되는 외부 협력업체의 서버가 온프레미스 환경의 물리적인 전산실 내 서버인 경우와 클라우드를 이용하는 경우 적용되는 기준이
□ 「전자금융거래법」의 적용 대상이나 「금융회사의 정보처리 업무 위탁에 관한 규정」의 적용 대상이 아닌 금융회사 및 기타 금융업 또는 금융관련 업무를 영위하는 자가 ‘클라우드컴퓨팅서비스’ 이용계약을 신규로 체결하는 경우 o 금융감독원장에게 제출해야 하는 서류 중 「금융회사의 정보처리 업무 위탁에 관한 규정」제7조제1항 관련 서류를 생략해도 되는지 여부
□ 금융회사가 ‘오픈API 주식 매매 주문 서비스’ 제공에 있어 App key, Secret key, 접근토큰 검증을 통하여 주문요청을 처리할시 전자금융거래법 제21조3항 및 전자금융감독규정 제37조, 동규정 제33조제2항제5호 위반 여부
□ 내부망에서 서버 가상화를 이용하여 생성한 가상 운영서버를 DMZ구간에 할당하여 공개용 웹서버로 사용하는 것이 전자금융감독규정 제17조제1항제1호에 위반하는지 여부
□ 금융회사가 연구·개발을 목적으로 5호 단말기에서 접속하는 폐쇄형 클라우드를 타 폐쇄형 클라우드와 전용선 또는 VPN으로 연결하고, 연결된 폐쇄형 클라우드에서 제공하는 특정 서비스 API를 연계하여 호출할시 전자금융감독규정 제15조제1항제5호를 위반하는지 여부