( 2019 . 06 . 13 시행 ) 정보 통신망 법 시행령 개정안 | 정보 통신 서비스 제공 자 에 대한 CISO 지정 2019 . 03 . 20 
 2 차 인증 , 추가 인증 OTP 관련 법령 | 개인정보 보호법 | 전자 금융 감독 규정 2019 . 03 . 03 
 ( 2019 . 06 . 13 시행 ) 정보 통신망 법 시행령 개정안 | 정보 통신 서비스 제공 자 에 대한 CISO 지정 
 2019 . 3 . 20 . 07 : 48 
 CCAMI , Chief Information Security Officer , ciso , CISO 지정 , 과기 정통부 , 과학 기술 정보 통신부 , 까 미 , 시행령 개정안 , 정보 보안 , 정보 보안 최고 책임자 , 정보 통신망 법 , 정보 통신 서비스 제공 자 , 정 통망 법 
 ( 2019 . 06 . 13 시행 ) 정보 통신망 법 시행령 개정안 
 정보 통신 서비스 제공 자 에 대한 CISO 지정 
 2019 년 6 월 13 일 시행 예정 인 정보 통신망 법 시행령 개정안 이 입법 예고 되 어 있 다 . 여기 서 크 게 변경 되 는 부분 이 정보 통신 서비스 제공 자 에 대한 CISO 지정 에 관한 부분 이 다 . 
 * CISO : chief information security officer 로 한국 말 로 하 면 ' 정보 보안 최고 책임자 ' 이 다 . 
 먼저 , 2019 년 6 월 13 일 에 개선 되 는 법령 은 아래 와 같 다 . 
 정보 통신망 법 45 조 의 3 ( 정보 보호 최고 책임자 의 지정 등 ) ① 정보 통신 서비스 제공 자 는 정보 통신 시스템 등 에 대한 보안 및 정보 의 안전 한 관리 를 위하 여 임원 급 의 정보 보호 최고 책임자 를 지정 하 고 과학 기술 정보 통신부 장관 에게 신고 하 여야 한다 . 다만 , 자산 총액 , 매출액 등 이 대통령령 으로 정하 는 기준 에 해당 하 는 정보 통신 서비스 제공 자 의 경우 에 는 정보 보호 최고 책임자 를 지정 하 지 아니할 수 있 다 . < 개정 2014 . 5 . 28 . , 2017 . 7 . 26 . , 2018 . 6 . 12 . > 
 ③ 제 1 항 본문 에 따라 지정 및 신고 된 정보 보호 최고 책임자 ( 자산 총액 , 매출액 등 대통령령 으로 정하 는 기준 에 해당 하 는 정보 통신 서비스 제공 자 의 경우 로 한정 한다 ) 는 제 4 항 의 업무 외 의 다른 업무 를 겸직 할 수 없 다 . < 신설 2018 . 6 . 12 . > 
 ④ 정보 보호 최고 책임자 는 다음 각 호의 업무 를 총괄 한다 . < 개정 2014 . 5 . 28 . , 2018 . 6 . 12 . > 
 ⑤ 정보 통신 서비스 제공 자 는 침해 사고 에 대한 공동 예방 및 대응 , 필요 한 정보 의 교류 , 그 밖 에 대통령령 으로 정하 는 공동 의 사업 을 수행 하 기 위하 여 제 1 항 에 따른 정보 보호 최고 책임자 를 구성원 으로 하 는 정보 보호 최고 책임자 협의회 를 구성 ㆍ 운영 할 수 있 다 . < 개정 2014 . 5 . 28 . , 2018 . 6 . 12 . > 
 ⑥ 정부 는 제 5 항 에 따른 정보 보호 최고 책임자 협의회 의 활동 에 필요 한 경비 의 전부 또는 일부 를 지원 할 수 있 다 . < 개정 2014 . 5 . 28 . , 2015 . 6 . 22 . , 2018 . 6 . 12 . > 
 ⑦ 정보 보호 최고 책임자 의 자격 요건 등 에 필요 한 사항 은 대통령령 으로 정한다 . < 신설 2018 . 6 . 12 . > 
 [ 시행 일 : 2019 . 6 . 13 . ] 제 45 조 의 3 
 기존 까지 는 CISO 에 대한 지정 및 신고 의무 대상자 는 소프트웨어 개발 사업자 등 이 상시 종업원 수 가 1 천 명 이상 인 정보 통신망 법 서비스 제공 자 등 이 었 으나 개선 된 법령 에서 는 위 와 같이 좀 더 구체 적 으로 변경 이 되 면서 CISO 를 지정 및 신고 를 해야 하 는 대상 이 확대 되 었 다 . 
 법령 에 나오 는 용어 를 좀 더 자세 하 게 보 면 아래 를 참고 하 면 된다 . 
 3 . " 정보 통신 서비스 제공 자 " 란 「 전기 통신 사업 법 」 제 2 조제 8 호 에 따른 전기 통신 사업자 * 와 영리 를 목적 으로 전기 통신 사업자 의 전기 통신 역무 ** 를 이용 하 여 정보 를 제공 하 거나 정보 의 제공 을 매개 하 는 자 를 말 한다 . 
 * " 전기 통신 사업자 " 란 이 법 에 따른 허가 를 받 거나 등록 또는 신고 ( 신고 가 면제 된 경우 를 포함 한다 ) 를 하 고 전기 통신 역무 를 제공 하 는 자 를 말 한다 . 
 ** " 전기 통신 역무 " 란 전기 통신 설비 를 이용 하 여 타인 의 통신 을 매개 하 거나 전기 통신 설비 를 타인 의 통신 용 으로 제공 하 는 것 을 말 한다 . 
 대략 적 으로 정리 를 하 자면 , 홈페이지 를 운영 하 고 있 는 회사 는 거의 대상 이 될 것 같 으며 , 회사 의 자산 총액 에 따라 CISO 겸직 가능 여부 가 결정 된다 . ( 자산 총액 5 조 원 이상 의 정보 통신 서비스 제공 자 는 겸직 불 가능 ) 
 추가 로 , 다른 직무 와 겸직 이 불 가능 한 CISO 는 아래 의 자격 요건 을 충족 해야 한다 . 
 - ( 필수 ) 상근 하 는 자 
 - ( 필수 ) 다른 회사 임직원 으로 재직 중 이 지 아니한 자 
 - ( 필수 ) 임원 급 
 그리고 아래 둘 중 하나 의 자격 요건 을 만족 해야 한다 . 
 - 4 년 이상 의 정보 보호 분야 경력자 
 - 2 년 이상 의 정보 보호 분야 경력자 로 정보 기술 분야 경력 과 합 하 여 5 년 이상 인 자 
 CISO 를 지정 하 고 과기 정통부 ( 과학 기술 정보 통신부 ) 장관 에게 신고 를 해야 한다고 되 어 있 다 . 지정 이 안 되 어 있 다면 감사 시 CISO 지정 에 대하 여 확인 을 할지 는 모르 겠 지만 , 당장 하 지 는 않 을 것 같 고 추후 1 - 2 년 정도 후 에 는 감사 를 진행 한다면 CISO 지정 관련 하 여 확인 을 하 지 않 을까 . 
 2 차 인증 , 추가 인증 OTP 관련 법령 | 개인정보 보호법 | 전자 금융 감독 규정 
 2019 . 3 . 3 . 16 : 37 
 2 차 인증 , CCAMI , IT Security , OTP , 개인정보 보호법 , 개인 정보 의 안전 성 확보 조치 기준 , 개인 정보 처리 시스템 , 개인 정보처 리자 , 개인 정보 취급자 , 까 미 , 보안 , 전자 금융 감독 규정 , 정보 보안 , 추가 인증 
 2 차 인증 , 추가 인증 관련 법령 | 개인정보 보호법 | 전자 금융 감독 규정 
 개인 정보 보호 에 대한 법률 규정 이 강화 되 면서 2 차 인증 ( 추가 인증 ) 에 대한 부분 은 거의 필수 가 되 어 가 고 있 는 것 같 습니다 . 금융 권 같 은 경우 에 는 진작 부터 전자 금융 감독 규정 에서 더 강하 게 규정 하 고 있 어서 많이 적용 되 어 있 지만 그 와 비교 해서 비 금융 권 은 조금 약한 편 입니다 . 많이 강화 되 가 고 있 는 중 인 것 같 습니다 . 
 그럼 먼저 , 국내 법령 에서 2 차 인증 관련 하 여 어떤 법령 이 있 는지 , 또한 법령 을 어떻게 해석 하 느냐 에 따라서 어떻게 적용 을 해야 하 는지 도 있 는데 그것 도 한번 간단 하 게 ( 개인 적 인 사견 으로 ) 보 도록 하 겠 습니다 . 
 먼저 , 개인정보 보호법 에서 요구 하 는 2 차 인증 관련 하 여서는 아래 법령 이 있 습니다 . 
 개인 정보 보호법 제 4 조 ( 접근 통제 ) 
 인터넷 구간 등 외부 로부터 개인 정보 처리 시스템 에 접속 은 원칙 적 으로 차단 하 여야 하나 , 정보 통신 서비스 제공 자 등 의 업무 특성 또는 필요 에 의해 개인 정보 취급자 가 노트북 , 업무 용 컴퓨터 , 모바일 기기 등 으로 외부 에서 정보 통신망 을 통해 개인 정보 처리 시스템 에 접속 이 필요 할 때 에 는 안전 한 인증 수단 을 적용 하 여야 한다 . 
 - 안전 한 인증 수단 의 적용 : 개인 정보 처리 시스템 에 사용 자 계정 과 비밀 번호 를 입력 하 여 정당 한 개인 정보 취급자 여부 를 식별 ․ 인증 하 는 절차 이외 에 추가 적 인 인증 수단 의 적용 을 말 한다 . 
 안전 한 인증 수단 을 적용 할 때 에 도 보안 성 강화 를 위하 여 VPN , 전용선 등 안전 한 접속 수단 의 적용 을 권고 한다 . 
 법령 을 살펴보 자면 , [ 개인 정보 취급자 가 정보 통신망 을 통해 ‘ 외부 에서 ’ 개인 정보 처리 시스템 에 접속 ] 이 기 때문 에 만약 내부 에서 접속 을 하 는 경우 에 는 꼭 추가 적 인 인증 을 하 지 않 아도 된다는 의미 이 지만 요즘 대부분 내부 이 던 외부 이 던 개인 정보 처리 시스템 에 접속 을 하 는 경우 에 는 거의 약간 안전 빵 으로 추가 인증 을 적용 하 는 추세 인 것 같 습니다 . 
 개인 정보 의 안전 성 확보 조치 기준 제 5 조 ( 접근 권한 의 관리 ) ( 6 항 ) 
 개인 정보 처리 자 는 개인 정보 처리 시스템 에 권한 없 는 자 의 비 정상 적 인 접근 을 방지 하 기 위하 여 계정 정보 또는 비밀 번호 를 일정 횟수 이상 잘못 입력 한 경우 에 는 개인 정보 처리 시스템 에 접근 을 제한 하 는 등 기술 적 조치 를 하 여야 한다 . 
 - 계정 정보 또는 비밀 번호 를 일정 횟수 ( 예 : 5 회 ) 이상 잘못 입력 한 경우 사용 자 계정 잠금 등 의 조치 를 취하 거나 계정 정보 · 비밀 번호 입력 과 동시 에 추가 적 인 인증 수단 ( 공인 인 증서 , OTP 등 ) 을 적용 하 여 정당 한 접근 권한 자임 을 확인 하 는 등 의 조치 를 취하 는 것 을 말 한다 . 
 또한 하위 법령 인 개인 정보 안전성 확보 조치 기준 에서 는 안전 한 접근 통제 를 위하 여 비밀 번호 를 일정 횟수 이상 틀리 면 계정 을 잠그 거나 접속 시 추가 인증 을 적용 하 라고 되 어 있 습니다 . 
 특히 [ 개인 정보 처리 자 는 개인 정보 처리 시스템 에 ~ 개인 정보 처리 시스템 에 접근 을 제한 하 는 등 기술 적 조치 를 하 여야 한다 . ] 이 기 때문 에 결국 개인 정보 처리 시스템 에 접속 을 하 여 개인 정보 를 처리 하 면 조금 크 게 해석 하 면 역시 안전 빵 으로 추가 인증 을 적용 하 는 것 이 안 전하 다고 생각 됩니다 . 
 여기 에 추가 적 으로 , 금융 권 은 전자 금융 감독 규정 을 적용 받 는데 여기 서 는 한층 더 까다로운 조건 이 있 습니다 . 
 전자 금융 감독 규정 제 14 조 ( 정보 처리 시스템 보호 대책 ) 
 9 . 정보 처리 시스템 의 운영 체제 ( Operating System ) 계정 으로 로그인 ( Log in ) 할 경우 계정 및 비밀 번호 이외 에 별도 의 추가 인증 절차 를 의무 적 으로 시행 할 것 
 정보 처리 시스템 의 운영 체제 계정 에 대한 보안 강화 를 위하 여 로그인 시 계정 및 비밀 번호 이외 의 별도 의 안전 한 추가 인증 절차 를 반드시 시행 하 고 , 운영 체제 계정 의 작업 수행 에 대한 이상 징후 발생 시 필요 한 통제 조치 가 즉시 시행 될 수 있 도록 모니터링 체계 수립 ( 제 9 호 , 제 10 호 ) 
 [ 정보 처리 시스템 의 ‘ 운영 체제 ’ 계정 에 대한 보안 강화 ] 이 기 때문 에 예 를 들 어 IT Administrator 가 정보 처리 시스템 에 원격 데스크 탑 으로 접속 을 하 는 경우 도 2 차 인증 을 적용 해야 한다고 나와 있 습니다 . 조금 더 까다롭 죠 . 
 2 차 인증 , 추가 인증 관련 하 여 찾아본 관련 법령 은 이 정도 가 될 것 같 습니다 . 추가 적 으로 다른 법령 이 있 을지 는 모르 겠 지만 . .. 위 정도 면 충분 하 지 않 을까 싶 네요 .