개정 전자 금융 거래법 국회 본회 의 통과 를 환영 하 며 금융 당국 의 기술 중립 , 사후 규제 원칙 구현 을 촉구 한다 . | Open Net 
 현재 위치 : 홈 - 논평 / 보도 자료 - 개정 전자 금융 거래법 국회 본회 의 통과 를 환영 하 며 금융 당국 의 기술 중립 , 사후 규제 원칙 구현 을 촉구 한다 . 
 개정 전자 금융 거래법 국회 본회 의 통과 를 환영 하 며 금융 당국 의 기술 중립 , 사후 규제 원칙 구현 을 촉구 한다 . 
 개정 전자 금융 거래법 국회 본회 의 통과 를 환영 하 며 
 금융 당국 의 기술 중립 , 사후 규제 원칙 구현 을 촉구 한다 . 
 개정 전자 금융 거래법 국회 본회 의 통과 를 환영 하 며 금융 당국 은 이용자 의 선택 권 을 보장 하 고 경쟁 을 통한 혁신 기술 환경 이 조성 되 도록 전자 금융 감독 규정 을 전면 개정 해야 한다 . 
 공인 인 증서 사용 강제 의 근거 가 된 전자 금융 거래법 제 21 조 제 3 항 이 지난 2014 년 9 월 30 일 개정 되 면서 , 지난 2013 년 사단 법인 오픈 넷 출범 이후 처음 시도 한 입법 제안 이 1 년 반 만 에 결실 을 거두 었 다 . 오픈 넷 은 개정 전자 금융 거래법 의 국회 본회 의 통과 를 환영 하 며 , 금융 당국 이 개정 전자 금융 거래법 의 입법 취지 를 존중 하 여 개정 법 시행 까지 남 은 1 년 의 유예 기간 동안 아래 와 같이 기술 중립 , 사후 규제 원칙 에 입각 하 여 다양 한 보안 기술 과 인증 기술 이 시장 에서 경쟁 하 는 금융 보안 패러다임 의 변화 를 이끌 어 주 길 기대 한다 . 
 개정 전자 금융 거래법 의 주요 내용 및 달라지 는 점 
 개정 전자 금융 거래법 제 21 조 제 3 항 은 아래 와 같 으며 , 금융 당국 은 더 이상 공인 인 증서 등 특정 기술 의 사용 을 강제 할 수 없 게 된다 . 
 개정 제 21 조 제 3 항 : 금융 위원회 는 제 2 항 의 기준 을 정함 에 있 어서 특정 기술 또는 서비스 의 사용 을 강제 하 여서는 아니 되 며 , 보안 기술 과 인증 기술 의 공정 한 경쟁 이 촉진 되 도록 노력 하 여야 한다 . 
 부칙 : 제 21 조 제 3 항 의 개정 규정 은 공포 후 1 년 이 경과 한 날 부터 시행 한다 . 
 < 달라지 는 점 > 
 이미 2014 년 5 월 , 전자 금융 감독 규정 시행 세칙 의 개정 으로 전자 상거래 상 신용 카드 와 직불 카드 결제 및 30 만 원 미만 온라인 계좌 이체 에 는 공인 인 증서 사용 의무 가 해제 된 바 있 으나 , 개정 전자 금융 거래법 이 시행 되 면 모든 전자 금융 거래 에서 공인 인 증서 의 사용 강제 가 금지 되 는 것 이 다 . 
 결국 개정 전자 금융 거래법 은 금융 당국 에 공인 인 증서 사용 강제 나 보안 성 심의 와 같 은 ‘ 기술 특유 적 규제 ’ 와 ‘ 사전 규제 ’ 일변도 에서 탈피 하 라는 주문 을 하 고 있 다 . 요컨대 개정 전자 금융 거래법 의 핵심 은 인증 방법 에 대한 이용자 선택 권 을 높이 고 , 금융 당국 은 공인 인 증서 를 넘어서 는 기술 혁신 환경 이 조성 되 도록 힘써야 한다는 내용 을 담 고 있 는 것 이 다 . 
 1 . 금융 당국 은 개정 전자 금융 거래법 의 입법 취지 에 따라 기술 특유 적 규제 와 사전 규제 등 관치 보안 의 근거 규정 으로 기능 해 왔 던 전자 금융 감독 규정 및 시행 세칙 을 전면 개정 해야 한다 . 
 개정 전자 금융 거래법 시행 에 따라 관치 보안 의 근거 규정 으로 전자 금융 감독 규정 은 전면 개정 되 어야 하 며 , 그 중 반드시 개정 되 어야 할 부분 은 아래 와 같 다 . 
 ( 1 ) 공인 인 증서 사용 기준 및 예외 를 정한 전자 금융 감독 규정 제 37 조 제 1 항 삭제 
 ( 2 ) 일회 성 으로 이루어지 는 “ 보안 성 심의 ” 규정 삭제 
 ( 3 ) 공인 인 증서 와 동등 한 수준 의 안전 성 을 평가 하 는 “ 인증 방법 평가 위원회 ” 전면 폐지 
 ( 보다 세부 적 인 내용 은 첨부 한 오픈 넷 의 전자 금융 감독 규정 제 3 장 개정안 내용 및 아래 오픈 넷 링크 참조 ) 
 ( 1 ) https : / / opennet . or . kr / 609 – 전자 금융 감독 규정 개정 제안 
 ( 2 ) https : / / opennet . or . kr / 662 – 현행 전자 금융 감독 규정 의 문제점 1 
 2 . 금융 당국 은 전자 금융 감독 규정 및 시행 세칙 규정 의 개정 을 투명 하 게 진행 해야 한다 . 
 금융 당국 은 남 은 1 년 동안 전자 금융 감독 규정 개정 과정 을 투명 하 게 진행 하 고 다양 한 이해 당사자 들 의 의견 을 폭넓 게 수렴 하 여야 한다 . 오픈 넷 은 이미 전자 금융 감독 규정 의 개정안 을 제안 한 바 있 으며 이 에 대해 누구 나 의견 을 개진 할 수 있 는 위키 ( wiki ) 페이지 를 운영 중 이 다 . ( https : / / opennet . or . kr / wiki / 665 ) 
 금융 당국 역시 전자 금융 감독 규정 개정 과정 에서 이용자 등 다양 한 이해 당사자 의 의견 을 종합 적 으로 수렴 하 고 그 과정 을 투명 하 게 공개 해야 한다 . 
 한편 최근 금융 당국 이 이른바 간편 결제 를 도입 하 려는 PG 사 의 신용 카드 정보 저장 여부 와 관련 하 여 신용카드 업자 의 이해관계 를 대표 하 는 여신 금융 협회 로 하여금 그 기준 을 정하 도록 하 고 , 이 에 따라 심의 를 진행 하 고 있 어 다시금 관치 보안 논란 이 일 고 있 다 . 이 와 같 은 금융 당국 의 행태 는 금융 당국 이 보안 기술 시장 에 사전 개입 하 는 기존 방식 에서 한 걸음 도 나아가 지 못함 을 방증 한다 . 
 ( 관련 내용 은 아래 경향신문 보도 참조 ) 
 이러 한 구태 가 반복 되 지 않 게 하 기 위해서 도 사실상 인허가 제도 로 기능 하 는 전자 금융 감독 규정 을 전면 개정 하 여 사후 규제 를 위한 정보 수집 에 한정 되 도록 그 기능 이 대폭 축소 되 어야 한다 . 또한 이 를 위해 개정 전자 금융 거래법 관련 주요 정책 결정 과정 에서 이해 당사자 의 참여 가 반드시 보장 되 어야 한다 . 
 3 . 금융 당국 은 보안 기술 과 인증 기술 시장 에서 혁신 기술 이 도입 될 수 있 도록 경쟁 질서 를 확립 해야 하 며 , 전자 금융 거래 사고 에 대한 소비자 피해 를 모니터링 하 는 컨트롤 타워 로 환골탈태 해야 한다 . 
 ( 1 ) 금융 당국 은 혁신 기술 이 시장 에 선보일 수 있 도록 시장 경쟁 질서 를 확립 하 고 혁신 환경 을 조성 해야 한다 . 
 개정 전자 금융 거래법 이 최종 적 으로 는 이용자 의 인증 기술 선택 권 보장 을 목표 로 하 고 있 기 때문 에 , 금융 당국 은 새로운 기술 의 채택 과 관련 한 금융 기관 이나 신용카드 업자 들 의 담합 이나 불공정 거래 행위 를 규제 하 는 역할 을 담당 해야 한다 . 또한 공인 인 증서 기술 일변도 로 고착 화 된 현행 기술 시장 에서 새로운 혁신 적 기술 이 도입 될 수 있 도록 금융 당국 은 새로운 인증 및 보안 기술 개발 과 혁신 환경 조성 을 담당 하 여 개정 전자 금융 거래법 의 취지 를 달성 할 수 있 도록 해야 한다 . 
 ( 2 ) 금융 당국 은 전자 금융 사고 거래 의 피해자 가 신속 , 적정 하 게 보상 될 수 있 도록 하 는 금융 소비자 권익 보호 를 위한 기관 으로 재 탄생 해야 한다 . 
 금융 당국 은 새로운 보안 기술 과 인증 기술 에 의해 사고 가 발생 하 는 경우 이 를 신속 하 게 파악 하 여 , 소비자 들 의 피해 가 신속 하 고 적정 하 게 보상 될 수 있 도록 하 는 ‘ 금융 소비자 피해 컨트롤 타워 ’ 가 되 어야 한다 . 이 를 위해 금융 당국 은 내부 인력 과 자원 을 금융 거래 사고 와 분쟁 현황 을 실시간 으로 모니터링 하 고 사후 규제 하 는 데 집중 해야 한다 . 인증 기술 과 보안 기술 에 대한 평가 는 시장 과 전문 보안 업체 에게 맡기 고 , 금융 당국 은 스스로 전문 성 을 발휘 할 수 있 는 금융 소비자 권익 보호 역할 에 충실 하 라는 것 이 개정 전자 금융 거래법 의 요지 이 기 때문 이 다 . 
 < 첨부 > 오픈 넷 의 전자 금융 감독 규정 제 3 장 개정 의견 
 1 . 1 금융 위원회 와 금융 감독원 은 전자 금융 서비스 가 기술 발전 을 반영 한 합리 적 방법 으로 안 전하 게 제공 되 고 , 전자 금융 거래 와 관련 된 분쟁 이 신속 하 고 정당 하 게 해결 되 도록 하 여 금융 소비자 가 적절히 보호 되 는 데 필요 한 감독 을 수행 한다 . 
 금융 기관 등 의 책임 성 확보 
 1 . 2 금융 위원회 와 금융 감독원 은 금융 기관 등 이 우월 적 지위 를 남용 하 거나 법령 이 정한 책임 을 부당 하 게 소비자 또는 다른 사업자 에게 전가 하 거나 회피 하 지 않 도록 하 는데 필요 한 감독 을 수행 한다 . 
 기술 및 서비스 의 자유 로운 경쟁 과 발전 
 1 . 3 금융 위원회 와 금융 감독원 은 전자 금융 거래 서비스 제공 에 사용 되 는 다양 한 거래 기술 , 보안 기술 및 보안 감사 서비스 가 활발 하 고 공정 하 게 경쟁 하 고 발전 할 수 있 는 시장 환경 이 손상 되 지 않 도록 감독 을 수행 한다 . 
 규제 의 투명 성 및 형평 성 
 1 . 4 금융 위원회 와 금융 감독원 은 전자 금융 거래 서비스 와 관련 된 정보 가 적절 한 수준 에서 투명 하 게 공개 되 고 규제 의 형평 성 이 유지 되 도록 한다 . 
 제 2 절 금융 기관 최고 경영진 의 책임 
 관리 감독 체계 의 확립 
 2 . 1 금융 기관 등 의 이 사진 과 최고 경영진 은 전자 금융 사업 에 관한 위험 을 관리 하 고 책임 소재 를 분명히 하 는데 필요 한 관리 감독 체계 를 확립 하 여야 한다 . 
 일괄 위임 의 금지 
 2 . 2 금융 기관 등 의 이 사진 과 최고 경영진 은 자신 의 전자 금융 사업 에 적용 되 는 보안 통제 절차 의 핵심 적 사항 을 직접 검토 하 고 승인 하 도록 한다 . 
 외주 계약 관계 등 의 점검 과 관리 
 2 . 3 금융 기관 등 의 이 사진 과 최고 경영진 은 자신 의 전자 금융 사업 이 외주 계약 관계 등 제 3 자 에게 의존 하 는 부분 에 대하 여 적절히 점검 하 고 관리 하 는 상시 적 인 체계 를 수립 하 도록 한다 . 
 직원 의 훈련 및 교육 
 2 . 4 금융 기관 등 의 이 사진 과 최고 경영진 은 전자 금융 사업 에 수반 되 는 위험 을 관리 하 는 데 필요 한 인력 을 충분히 확보 하 고 그 들 에 대한 상시 적 이 고 정기 적 인 훈련 및 교육 프로그램 을 마련 하 도록 한다 . 
 적절 한 인증 기술 의 채택 
 3 . 1 금융 기관 등 은 거래 의 성격 과 해당 거래 에 수반 하 는 위험 의 수준 을 고려 하 여 업계 의 기술 수준 을 반영 한 합리 적 인 당사자 인증 기술 을 채택 하 여야 한다 . 
 분쟁 의 예방 및 대처 
 3 . 2 금융 기관 등 은 거래 내용 을 고객 이 분명히 이해 할 수 있 도록 유저 인터페이스 를 설계 하 고 , 거래 의 주체 와 거래 의 내역 을 신뢰 성 있 는 방법 으로 확인 하 고 , 거래 데이터 가 변조 되 지 않 도록 하 며 , 변조 여부 를 판별 하 는 데 필요 한 합리 적 조치 를 채택 함 으로써 전자 금융 거래 가 부당 하 게 부인 되 지 않 도록 하 여야 한다 . 
 업무 권한 의 분할 
 3 . 3 금융 기관 등 은 전자 금융 거래 시스템 , 데 이타 베이스 , 프로그램 의 운용 에 있 어서 각 직원 의 임무 가 적절히 분리 , 분할 되 도록 하 는데 필요 한 적절 한 조치 를 취함 으로써 , 자신 의 전자 금융 업무 가 직원 들 간 에 상호 검증 될 수 있 도록 해야 한다 . 
 접근 , 출입 권한 의 통제 
 3 . 4 금융 기관 등 은 전자 금융 거래 시스템 , 데 이타 베이스 , 프로그램 에 대한 접근 및 출입 권한 통제 가 적절히 이루어지 도록 함 으로써 각 직원 이 자기 권한 을 스스로 변경 할 수 는 없 도록 하 며 , 임무 분리 / 분할 을 통한 검증 , 점검 체계 가 우회 되 지 않 도록 해야 한다 . 
 거래 기록 등 의 보호 
 3 . 5 금융 기관 등 은 전자 금융 거래 내역 , 거래 기록 등 의 정보 가 변경 되 지 않 고 보존 될 수 있 도록 하 는데 필요 한 적절 한 조치 를 마련 하 여야 한다 . 
 검사 이력 및 증거 확보 
 3 . 6 금융 기관 등 은 그 고객 의 모든 전자 금융 거래 에 대하 여 감사 / 검사 이력 ( audit trails ) 이 남 도록 하 고 , 법원 에 제출 될 수 있 는 증거 를 평소 에 확보 하 고 , 이 자료 가 사후 에 변조 되 지 않 도록 하 는데 필요 한 적절 한 조치 들 을 상시 로 취해야 한다 . 
 고객 의 비밀 보호 
 3 . 7 금융 기관 등 은 전자 금융 거래 내역 의 비밀 성 을 유지 하 는 데 필요 한 적절 한 조치 를 마련 하 여야 한다 . 
 고객 에게 제공 되 어야 할 정보 
 4 . 1 금융 기관 등 은 고객 이 거래 할지 여부 를 제대로 판단 하 는 데 필요 한 정보 ( 명칭 , 규제 상황 등 ) 를 적절히 제공 하 도록 한다 . 
 4 . 2 금융 기관 등 은 고객 의 프라이버시 보호 요건 을 법령 에 따라 준 수 하 여야 한다 . 
 사업 지속 에 필요 한 대비책 
 4 . 3 금융 기관 등 은 전자 금융 서비스 가 상시 제공 될 수 있 도록 사업 규모 , 사업 지속 및 비상 대책 에 관한 사전 기획 절차 를 마련 하 여야 한다 . 
 재난 회복 및 사고 대응책 
 4 . 4 금융 기관 등 은 전자 금융 서비스 에 대한 내부자 의 공격 이나 외부 자 의 공격 등 불의 의 사태 를 관리 하 고 피해 를 최소 화 하 는 데 필요 한 사고 대응책 을 적절히 개발 하 도록 한다 . 
 사 고 보 고 및 분쟁 절차 모니터링 
 4 . 5 금융 감독원 은 전자 금융 사고 거래 의 내용 과 규모 를 정확히 파악 하 고 , 공평 하 고 신속 한 분쟁 해결 을 위하 여 다음 조치 를 취한다 : 
 • 전자 금융 서비스 와 관련 된 소비자 의 불만 , 이 의 , 청구 를 통합 적 으로 접수 할 수 있 는 페이지 ( 금융 소비자 보호 페이지 ) 를 금융 감독원 이 관리 하 고 , 각 금융 기관 은 이 페이지 의 링크 를 자신 의 홈페이지 에 게시 하 여야 한다 . 
 • 금융 감독원 은 금융 소비자 보호 페이지 를 통하 여 접수 된 소비자 의 불만 , 이 의 , 청구 를 해당 금융 기관 등 에 이첩 하 고 , 분쟁 해결 과정 을 모니터링 한다 . 
 • 금융 감독원 은 각 금융 기관 별 사고 거래 의 내용 과 규모 를 신뢰 성 있 는 방법 으로 파악 하 여 보 안 기술 의 연구 개발 및 서비스 품질 향상 에 필요 한 한도 에서 적절 한 수준 과 방법 으로 공표 한다 . 
 정기 적 보안 감사 
 5 . 1 . 1 금융 기관 등 은 국제 적 으로 인정받 는 보안 감사 기준 에 따른 보안 점검 을 전문 보안 감사 업체 로부터 정기 적 으로 받 도록 노력 한다 . 
 5 . 1 . 3 금융 감독원 은 KFSS DSS 의 지속 적 인 업데이트 및 국제 화 작업 , KFSS DSS 기준 에 따른 보안 감사 서비스 제공 자 의 자격 요건 및 품질 관리 에 필요 한 업무 를 수행 한다 . 
 신규 솔루션 에 대한 제 3 자 검증 
 5 . 2 . 1 금융 기관 등 이 전자 금융 거래 솔루션 을 신규 로 채용 하 고자 할 경우 에 는 독립 적 인 보안 검증 서비스 제공 자 의 검증 을 받 고 , 그 검증 결과 를 금융 감독원 에 제출 하 여야 한다 . 
 5 . 2 . 2 전항 의 독립 적 보안 검증 을 받 은 바 없 는 전자 금융 거래 솔루션 을 사용 하 여 전자 금융 거래 를 제공 할 경우 , 해당 금융 기관 은 그 솔루션 이 제 3 자 의 독립 적 검증 을 받 은 바 없 다는 사실 을 소비자 에게 고지 하 여야 한다 .