금융투자협회 법규정보시스템 | 금융투자업 정보기술부문 비상대책 수립·운용 가이드라인

제1조(목적)

이 가이드라인은 금융회사 및 전자금융업자의 정보기술부문 업무지속성 확보방안, 안전대책, 비상대응훈련 등에 관한 세부 기준을 제시하여 전자금융거래의 안전성 제고를 목적으로 한다.

제2조(적용대상 및 범위)

①	이 가이드라인은 전자금융거래법 제2조 제3호에 따른 금융회사 및 동법 제2조 제4호에 따른 전자금융업자를 대상으로 한다.

②	전자금융감독규정 제23조 제8항에 따른 재해복구센터, 전자금융감독규정 제23조 제9항에 따른 핵심업무, 전자금융감독규정 제23조 제10항에 따른 재해복구전환훈련 관련 내용은 전자금융감독규정 제23조 제8항 각 호에서 정한 금융회사 및 전자금융업자를 대상으로 한다.

제3조(핵심업무 선정 및 관리)

①	금융회사 및 전자금융업자는 업무별로 업무지속성 확보의 중요도를 분석하여 핵심업무를 선정함에 있어 핵심업무 담당 부서 및 핵심업무 선정 절차를 내규에 반영하여 운영하여야 한다.

②	금융회사 및 전자금융업자는 핵심업무 선정시 전자금융감독규정 제23조 제9항에 따라 선정한 핵심업무와 선정하지 않은 업무를 명확하게 구분하여 관리하여야 한다.

③	금융회사 및 전자금융업자는 핵심업무 선정시 전사적 운영리스크 또는 업무영향도 분석 결과를 반영하여야 한다.

④	금융회사 및 전자금융업자는 핵심업무 선정 절차에 각 단위 업무의 소관부서와 협의·검토하는 절차 및 협의·검토 결과의 보고 절차를 포함하여야 한다.

⑤	핵심업무 선정 관련 각 단위 업무 소관부서와의 협의·검토 결과 및 핵심업무의 선정 결과는 정보관리최고책임자(CIO) 및 핵심업무 담당 임원에게 보고하여야 한다.

⑥	신규 전산시스템 도입, 전사적 업무 범위의 변경, 조직 개편 또는 신규 서비스 출시·개발 등으로 인해 핵심업무가 변경되는 경우 제1항의 핵심업무 담당 부서는 내규에 따른 핵심업무 선정 절차에 따라 핵심업무를 재선정하여야 한다.

⑦	핵심업무 선정을 위한 업무영향분석시 분석대상 단위업무와 해당 업무 시스템 간의 대응(매핑)이 누락되지 않아야 한다.

제4조(비상대응훈련)

①	금융회사 및 전자금융업자는 비상대응훈련 관련 재해복구센터로의 물리적 이동시간 및 실제 비상상황 등을 감안하여 훈련 수행계획을 수립·실시하여야 한다.

②	금융회사 및 전자금융업자는 비상대응훈련 계획 수립시 로그인 인증수단 동작 여부 및 이중화 여부 등 대고객 서비스 전반을 감안하여 훈련 수행계획을 수립하여야 한다.

③	금융회사 및 전자금융업자는 비상대응훈련 수행 시 전산센터 화재, 하드웨어 고장, 일부 정보시스템 장애, 전력공급 중단 등 다양한 비상상황 발생에 대비한 훈련이 진행될 수 있도록 수행하여야 한다.

④	금융회사 및 전자금융업자는 비상대응훈련 결과 발견된 미흡한 사항에 대해 보완 대책을 마련하고, 동 대책을 업무지속성 확보방안의 상황별 대응절차 등에 반드시 반영하여야 한다.

⑤	금융회사 및 전자금융업자는 비상대응훈련 결과에 대해 검증 및 보고하는 절차를 내규에 반영하여야 한다.

⑥	금융회사 및 전자금융업자는 비상대응훈련 수행시 훈련 대상 업무 또는 시스템과 관련하여 해당 업무 소관 부서(영업점 포함) 및 전산시스템 담당 부서가 훈련에 참여하도록 훈련 수행 계획을 수립하여야 한다.

제5조(재해복구전환훈련)

①	금융회사 및 전자금융업자는 핵심업무 전체에 대하여 최소 5년에 1회* 이상 재해복구전환훈련이 시행될 수 있도록 재해복구전환훈련 계획 수립시 대상 업무를 선정하여야 한다.

*	자기자본 3조원 이상 기관(종투사): 5년에 1회 이상, 3조원 미만 기관: 10년에 1회 이상

②	핵심업무에 금융결제원, 예탁결제원 등 중요 대외기관과의 연계 기능이 포함되어 있는 경우, 해당 업무에 대한 재해복구훈련시 중요 대외기관과의 연계 기능을 재해복구훈련 대상에 포함 하여야 한다. 단, 훈련을 위한 협조 노력에도 불구하고 중요 대외기관의 훈련지원이 불가능한 경우 대외기관 통신과 동일 또는 유사한 환경의 구조로 대체하여 훈련할 수 있다.

③	가이드라인 제4조에서 정하는 기준은 재해복구전환훈련만 실시하는 경우에도 적용한다. 단 이 경우, 가이드라인 제4조의 ‘비상대응훈련'은 ‘재해복구전환훈련'을 의미한다.

제6조(업무지속성 확보방안 관리 등)

①	금융회사 및 전자금융업자는 업무지속성 확보방안(Business Continuity Plan), 재해복구계획(Disaster Recovery Plan), 행동매뉴얼 또는 비상대책 간 일관성에 문제가 없는지 연 1회 이상 점검하는 절차를 수립·운영하여야 한다.

②	금융회사 및 전자금융업자는 업무지속성 확보방안 관련 사용자 매뉴얼, 지침서, 비상연락처 등이 등재된 시스템의 작동이 중단되는 경우에도 관련 자료를 열람할 수 있도록 책자·서류를 사전에 비치하거나 자료가 등재된 시스템에 대한 재해복구시스템을 구축하여야 한다.

③	금융회사 및 전자금융업자는 장애·재해·파업·테러 등 긴급 상황 발생시 통지, 보고 및 대외통보를 전산시스템을 통해 수행토록 업무지속성 확보방안을 마련한 경우, 해당 전산시스템에 대해 재해복구시스템을 구축하거나 해당 시스템이 중단된 경우에도 업무지속성 확보방안에 영향이 없도록 대체 수단을 마련하여야 한다.

제7조(재해복구센터)

①	금융회사 및 전자금융업자는 재해복구센터에 금융결제원, 예탁결제원 등 핵심 대외기관에 대한 통신회선을 사전에 구축하거나 주전산센터에서 통신회선을 일괄 전환할 수 있도록 구축하여 통신회선 미구축으로 인해 핵심업무 가동이 제한되지 않도록 조치하여야 한다.

②	금융회사 및 전자금융업자는 재해 상황 발생으로 인한 재해복구센터로의 전환시 서비스 지연 등 장애가 발생하지 않도록 주전산센터의 가용성능(CPU, 메모리, 디스크 등)을 감안하여 재해복구센터의 가용성능을 확보하여야 한다.

③	금융회사 및 전자금융업자는 재해 상황 발생시 신속하게 대응할 수 있도록 핵심업무 외에도 내부 통신용 시스템(재해·장애 전파 시스템), 시스템 모니터링 장비, DB 전환·복구 시스템, 유관 정보보호시스템 등 업무지속성 확보방안의 상황별 대응절차에서 활용하는 시스템도 재해복구센터에 구축하여야 한다. (다만, 업무지속성 확보방안의 상황별 대응절차에 포함되지 않는 시스템의 경우 구축대상에서 제외할 수 있다.)

제8조(백업 등 비상대책)

금융회사 및 전자금융업자는 고의·실수로 고객 거래정보 등 원장이 삭제되지 않도록 백업 관련 솔루션 도입 등 백업 데이터 관리 방안을 수립·운용하고 백업 데이터 관리 및 데이터 복구 방안을 업무지속성 확보방안에 반영하여야 한다.

제9조(전산센터 화재 예방·대비)

①	금융회사 및 전자금융업자는 전산센터 화재 예방 및 대비를 위하여 다음 각 호의 내용을 업무지속성 확보방안의 상황별 대응절차에 포함하여야 한다.

1.	전산센터 화재 발생시 신고 절차(신고 담당자·책임자, 화재신고 요령, 비상연락처 등을 포함한다.)

2.	전산센터 화재 발생시 초기대응 절차(대응 담당자·책임자, 소화기 또는 소화설비 사용법 또는 절차를 포함한다.)

3.	전산센터 화재 발생시 대피 절차

②	전산센터를 직접 운영중인 금융회사 및 전자금융업자는 관할 소방서가 전산센터 내부 접근경로를 사전에 파악할 수 있도록 협조하고 전산센터 상주 인원이 대피 경로를 사전에 숙지할 수 있도록 전산센터 관할 소재지 소방서와의 공동 소방훈련 등을 실시하여야 한다. 단, 관할 소방서의 사정 등에 따라 공동 소방훈련을 실시하지 못할 경우 업무지속성 확보방안의 상황별 대응절차의 내용을 감안하여 단독으로 실시할 수 있다.

③	전산센터를 임차하여 사용중인 금융회사 및 전자금융업자는 전산센터 운영사의 화재 예방 시설 및 관리 적정성에 대해 연 1회 이상 점검하여야 한다.

④	전산센터를 임차하여 사용중인 금융회사 및 전자금융업자는 재해발생시 사고원인 파악 등을 위해 자료를 요구할 수 있도록 자료 요구권 등을 전산센터 운영사와의 계약 내용에 반영하거나, 계약에 준하는 별도의 방법(서면 등)으로 확보하여야 한다.