비조치의견서 (비조치 □조치 □기타)
	담당부서	IT검사국	담당자 (직위, 성명)	김진규 검사역	연락처	02-3145-7417
요청대상 행위	□ 금융회사가 EOS(End of Service) 대응을 위해 핵심업무 시스템을 재구축 및 통합테스트를 수행하면서 데이터 이행 및 정합성 검증 용도*로 내부통제**가 적용된 별도의 영역***에서 미변환된 이용자 정보를 사용하는 것이 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 업무특성상 다수 회원/고객사와 연관된 예외적인 데이터 구조가 많아 단순 변환된 개발용 정보로 테스트를 수행할시 데이터 일관성 및 정합성 오류가 과도하게 발생하는 상황 ** 테스트 전담인력 승인/지정, 출입통제 및 휴대폰 카메라 봉인, 업무장소 및 전산설비 분리, 비인가 전산장비 및 무선망 통제, 망분리된 전용 PC 사용(보안솔루션 적용), 사용자별 계정 및 권한관리, 정기 보안점검, 데이터 암호화 등 실제 운영시스템에 준하는 수준의 통제를 적용 *** 이용자 정보를 사용하는 운영 영역 및 변환된 정보를 사용하는 개발 영역과 업무공간, 네트워크를 각각 분리하고 접근통제를 적용한 별도의 데이터 이행 및 통합 테스트 영역
판단	□ 아래 내용을 참고하시기 바랍니다.
판단이유	□ ｢전자금융감독규정｣ 제13조제1항제8호는 테스트시 이용자 정보의 사용을 원칙적으로 금지하고 있고, ◦ 다만, 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하되 테스트 종료 즉시 삭제하도록 규정하고 있습니다. □ 동 규정의 취지가 전산자료 유출 방지 및 전자금융거래 안전성 확보라는 점을 고려할 때, ◦ 문의하신 사실관계 하에서 귀 사에 동 규정을 문리적으로 적용하는 것은 오히려 불충분한 테스트로 인한 시스템 안전성 저하를 야기할 수 있으므로 규정 취지와 부합하지 않는 것으로 보입니다. □ 따라서 귀 사가 데이터 정합성 검증에 필요한 최소한의 범위에서 이용자 정보를 사용한 후 즉시 삭제하는 한편, ◦ 외부주문에 대한 보안관리방안* 및 실제 운영시스템과 동일한 수준의 보안 대책**을 적용하는 등 테스트 영역에서의 정보유출을 방지하기 위한 적절한 내부통제기준을 적용한 경우 ｢전자금융감독규정｣ 제13조제1항제8호 위반으로 조치하지 않습니다. * 전자금융감독규정 제60조제1항제7호 및 동 시행세칙 제9조의2제1항 ** 비인가 전산장비·무선통신 접속 통제, 해킹 방지대책, 악성코드 감염 방지 대책, 사용자 권한 및 비밀번호 설정·운영, 이용자 비밀번호 암호화 등
※ 비조치의견서의 효력(「법령해석 및 비조치의견서 업무처리에 관한 운영규칙」 제6조의2, 제11조제1항·제2항 참조) 1. 금융감독원장은 해당 행위가 법령등에 위반되지 않는다는 비조치의견서를 회신하는 경우 해당 행위에 대해서는 사후에 회신내용의 취지에 부합하지 않는 법적 조치를 취하지 않습니다. 2. 그러나 다음의 어느 하나에 해당하는 경우에는 금융감독원장이 이미 회신한 비조치의견서의 내용과 다른 법적 조치를 취할 수 있습니다. 가. 신청인이 요청서에 기재한 내용 또는 제출한 자료의 내용이 사실과 다른 경우 나. 신청인이 중요한 자료를 제출하지 아니한 사실이 발견된 경우 다. 신청인이 요청서에 기재한 내용과 상이한 행위를 한 경우 라. 관련 법령등이 변경된 경우 마. 판단의 기초가 되는 사실관계의 변동, 그 밖의 사정변경으로 인하여 기존의 의견을 유지할 수 없는 특별한 사유가 있는 경우 3. 금융감독원장이 일정 요건 충족을 조건으로 제재 등 조치를 취하지 않겠다는 조건부 비조치의견서를 회신하였으나 신청인이 해당 조건을 충족하지 못한 경우에는 금융감독원장은 이미 회신한 비조치의견서의 내용과 다른 법적 조치를 취할 수 있습니다.