전자금융 시대를 살고 있는 지금 안전한 전자금융거래를 위해 금융감독기관의 규제가 지속적으로 강화되고 있다. 하지만 규제를 준수해야 하는 약 4,500여개 금융기관의 수에 비해 정보보호컨설팅 및 정보보호서비스 사업자의 수가 턱없이 부족하고 감독기관의 물리적 감독업무에도 상당한 업무부담이 과중되고 있다. 날로 실시간 리스크관리의 요구가 강해지고 있는바 본 논문을 통하여 규제준수에 관해 요건, 이행, 모니터링, 감독 등의 업무를 효율적으로 하기 위해 필요한 기술적 접근을 시도하고 시스템 기반의 컴플라이언스 매니지먼트를 위한 요소항목을 도출하고자 한다. 본 연구는 금융IT 컴플라이언스 매니지먼트 프레임워크와 GRC프로세스 모델을 기반으로 연구하였고 연구결과 컴플라이언스 매니지먼트 라이프사이클과 각 라이프사이클에 따른 34개의 컴플라이언스 매니지먼트 인덱스를 설계하였다.
전자금융 시대를 살고 있는 지금 안전한 전자금융거래를 위해 금융감독기관의 규제가 지속적으로 강화되고 있다. 하지만 규제를 준수해야 하는 약 4,500여개 금융기관의 수에 비해 정보보호컨설팅 및 정보보호서비스 사업자의 수가 턱없이 부족하고 감독기관의 물리적 감독업무에도 상당한 업무부담이 과중되고 있다. 날로 실시간 리스크관리의 요구가 강해지고 있는바 본 논문을 통하여 규제준수에 관해 요건, 이행, 모니터링, 감독 등의 업무를 효율적으로 하기 위해 필요한 기술적 접근을 시도하고 시스템 기반의 컴플라이언스 매니지먼트를 위한 요소항목을 도출하고자 한다. 본 연구는 금융IT 컴플라이언스 매니지먼트 프레임워크와 GRC 프로세스 모델을 기반으로 연구하였고 연구결과 컴플라이언스 매니지먼트 라이프사이클과 각 라이프사이클에 따른 34개의 컴플라이언스 매니지먼트 인덱스를 설계하였다.
The Financial Supervisory Institution constantly has tightened the regulation for secure electronic financial service. Information Security Consulting and Service companies are not enough to cover about 4,500 financial institutes required to comply with the regulation, and the Financial Supervisory ...
The Financial Supervisory Institution constantly has tightened the regulation for secure electronic financial service. Information Security Consulting and Service companies are not enough to cover about 4,500 financial institutes required to comply with the regulation, and the Financial Supervisory Institution also suffers from work overload. The demand for real-time work of risk management is getting stronger. Compliance with the regulation has to be attempted with technical approach so that requirement, implementation, monitoring, and supervision are efficiently performed. And, articles have to be concluded with compliance management service. In this research used compliance management framework and IT GRC process model, have to be designed compliance management lifecycle and 34 index.
The Financial Supervisory Institution constantly has tightened the regulation for secure electronic financial service. Information Security Consulting and Service companies are not enough to cover about 4,500 financial institutes required to comply with the regulation, and the Financial Supervisory Institution also suffers from work overload. The demand for real-time work of risk management is getting stronger. Compliance with the regulation has to be attempted with technical approach so that requirement, implementation, monitoring, and supervision are efficiently performed. And, articles have to be concluded with compliance management service. In this research used compliance management framework and IT GRC process model, have to be designed compliance management lifecycle and 34 index.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
컴플라이언스 매니지먼트 서비스는 반드시 실시간성과 효율성이 반영되어야 하는 만큼 본 연구는 반드시 필요하고 추후 연구 과제로 남겨진 상세 서비스 항목별 프로세스 설계를 본 연구에 이어 수행해보고자 한다. IT Complianc Managment, IT Risk Management IT Governance는 상호 연관성이 있으며 이미 GRC라는 분야로 연구가 활발히 진행되고 있는 바 본 연구를 확대하여 IT GRC 매니지먼트 서비스를 위한 기술적 분석에 대한 연구로 향후 확대하고자 한다.
현재의 전자금융 환경에서 주어진 금융IT 컴플라이언스는 감독기관과 준수기관 모두에게 부담되고 효율성이 부족하다. 본 논문에서는 보다 효율적인 컴플라이언스 매니지먼트 서비스를 위한 기술적 요소항목에 대한 접근을 하였고 기술적 접근에 필요한 인덱스의 설계와 서비스 프로세스의 기본 틀을 설계하였다. 컴플라이언스 매니지먼트 서비스는 반드시 실시간성과 효율성이 반영되어야 하는 만큼 본 연구는 반드시 필요하고 추후 연구 과제로 남겨진 상세 서비스 항목별 프로세스 설계를 본 연구에 이어 수행해보고자 한다.
대한민국 또한 각종 규제가 강화되고 리스크 관리 이슈가 증가하면서 IT GRC에 대한 니즈는 증가하였지만 IT GRC를 위한 학술적 연구는 이제 시작이다. 본 논문에서는 사전 연구된 금융IT 컴플라이언스 프레임워크와 통합 IT GRC 프로세스 모델 중 컴플라이언스 매니지먼트 서비스를 하기 위한 기술적 요소 항목을 설계하고자 한다.
본 논문에서는 시스템기반의 금융IT 컴플라이언스 매니지먼트 서비스를 위하여 고려해야 하는 기술적 요소에 대한 분석하고 컴플라이언스 매니지먼트 서비스를 위한 프로세스를 제안하고자 한다. 본 논문의 구성은 다음과 같다.
본 장에서는 인력기반으로 컴플라이언스를 준수여부를 확인할 수 밖에 없는 현실에 보다 효율적이고 즉시성이 반영된 컴플라이언스 준수 여부를 확인할 수 있는 기술적 접근을 시도하고자 한다. 본 장에서 사용하는 용어는 사전 연구된 금융IT 컴플라이언스 매니지먼트 프레임워크에서 정의한 참여기관의 용어를 사용하고자 하며 참여기관 별 상세기능에서 정의한 항목의 구체적인 기술적 요소항목을 도출하고 시스템화가 가능한 프로세스를 설계하고자 한다.
본 장에서는 선행 연구된 금융IT보안 컴플라이언스 매니지먼트 프레임워크를 분석하고 컴플라이언스 매니지먼트 프로세스가 궁극적으로 지향하는 IT GRC 프로세스 모델에 대해 분석하고자 한다.
본 장에서는 인력기반으로 컴플라이언스를 준수여부를 확인할 수 밖에 없는 현실에 보다 효율적이고 즉시성이 반영된 컴플라이언스 준수 여부를 확인할 수 있는 기술적 접근을 시도하고자 한다. 본 장에서 사용하는 용어는 사전 연구된 금융IT 컴플라이언스 매니지먼트 프레임워크에서 정의한 참여기관의 용어를 사용하고자 하며 참여기관 별 상세기능에서 정의한 항목의 구체적인 기술적 요소항목을 도출하고 시스템화가 가능한 프로세스를 설계하고자 한다.
본 절에서는 컴플라이언스 매니지먼트 서비스가 기술적으로 구현되기 위한 프로세스를 설계하고자 한다. 본 프로세스는 COSO에서 정의한 Risk Management Framework[6]의 프로세스를 바탕으로 하였으며 제정기관, 감독기관, 준수기관 등 참여기관의 역할과 요구사항에 맞게끔 반영을 하여 설계하였다[Fig.
그러나 참여기관별로 기능적 정의는 이루었으나 각 항목에 대해 상세한 기술적 요소는 추후 연구과제로 남겨진 바 있다. 이러한 기술적 접근을 이루기 위한 요소 항목을 설계하고 컴플라이언스 매니지먼트 서비스를 위한 프로세스를 본 논문에서 제안하고자 한다.
본 논문에서는 보다 효율적인 컴플라이언스 매니지먼트 서비스를 위한 기술적 요소항목에 대한 접근을 하였고 기술적 접근에 필요한 인덱스의 설계와 서비스 프로세스의 기본 틀을 설계하였다. 컴플라이언스 매니지먼트 서비스는 반드시 실시간성과 효율성이 반영되어야 하는 만큼 본 연구는 반드시 필요하고 추후 연구 과제로 남겨진 상세 서비스 항목별 프로세스 설계를 본 연구에 이어 수행해보고자 한다. IT Complianc Managment, IT Risk Management IT Governance는 상호 연관성이 있으며 이미 GRC라는 분야로 연구가 활발히 진행되고 있는 바 본 연구를 확대하여 IT GRC 매니지먼트 서비스를 위한 기술적 분석에 대한 연구로 향후 확대하고자 한다.
제안 방법
쉽게 표현하여 감독기관이 어떤 컴플라이언스에 대해 준수기관이 제대로 준수하는지를 감독하는 것이기 때문에 관련 인덱스를 정의하였고, 추적관리를 위하여 검사 통과/미통과/보류와 관련한 인덱스를 별도로 설계하였다. 다음으로 컴플라이언스 준수기관의 경우 어떠한 컴플라이언스를 잘 준수하고 있는 지의 여부를 판단할 수 있도록 인덱스를 설계하였다.
컴플라이언스 매니지먼트서비스가 기술적으로 구현되기 위해서는 컴플라이언스 라이프사이클을 모두 반영해야만 한다. 따라서 컴플라이언스 매니지먼트 인덱스를 컴플라이언스 라이프사이클을 기준으로 설계하고자 한다[Table 2].
또한 ISO/IEC 38500:2008 모델에서 정의한 IT 거버넌스 프로세스와 COSO ERM에서 정의한 Risk Management 프로세스를 통합하여 IT GRC 관리를 위한 프로세스 모델을 정의하였다[1,5,6].
컴플라이언스 매니지먼트는 결국 리스크관리의 큰 틀에서 이해할 수 있다. 또한 본 논문에서 설계한 각 참여기관의 역할에 따라 IT 컴플라이언스 매니지먼트에 필요한 항목을 각 참여기관별로 Fig. 7과 같이 대응할 수 있으며 3.1절에서 설계한 인덱스를 바탕으로 컴플라이언스 매지니먼트 서비스에 필요한 각 서비스 항목별로 구체적인 프로세스를 설계할 수 있다. 각 서비스항목별 상세 프로세스 설계는 본 논문의 범위를 벗어나므로 추후 연구과제로 남기고자 한다.
본 절에서는 컴플라이언스 매니지먼트 서비스가 기술적으로 구현되기 위한 프로세스를 설계하고자 한다. 본 프로세스는 COSO에서 정의한 Risk Management Framework[6]의 프로세스를 바탕으로 하였으며 제정기관, 감독기관, 준수기관 등 참여기관의 역할과 요구사항에 맞게끔 반영을 하여 설계하였다[Fig. 7].
다음으로 컴플라이언스 감독기관의 인덱스는 실제 감독업무에 필요한 코드가 추가되게 된다. 쉽게 표현하여 감독기관이 어떤 컴플라이언스에 대해 준수기관이 제대로 준수하는지를 감독하는 것이기 때문에 관련 인덱스를 정의하였고, 추적관리를 위하여 검사 통과/미통과/보류와 관련한 인덱스를 별도로 설계하였다. 다음으로 컴플라이언스 준수기관의 경우 어떠한 컴플라이언스를 잘 준수하고 있는 지의 여부를 판단할 수 있도록 인덱스를 설계하였다.
이후 니콜라스 라쓰는 IT 거버넌스, 위험 관리, IT 컴플라이언스 통합을 위한 프로세스 모델을 수립하였다. 즉 IT GRC에 관한 프로세스 모델을 정립한 것이다[1].
후속연구
1절에서 설계한 인덱스를 바탕으로 컴플라이언스 매지니먼트 서비스에 필요한 각 서비스 항목별로 구체적인 프로세스를 설계할 수 있다. 각 서비스항목별 상세 프로세스 설계는 본 논문의 범위를 벗어나므로 추후 연구과제로 남기고자 한다.
질의응답
핵심어
질문
논문에서 추출한 답변
금융기관이 전자금융거래시 반드시 준수해야 하는 법령은 무엇인가?
인터넷뱅킹 계좌 등록수가 8,000만명이 넘을 정도로 전자금융거래가 활발해진만큼 금융정보탈취를 목적으로 하는 해킹 또한 지속적으로 증가하였고 안전한 전자금융거래를 위해 금융감독기관은 금융기관이 준수해야 하는 다양한 규제를 발표하였다[12,13]. 금융기관이 전자금융거래시 반드시 준수해야 하는 법령은 전자금융거래법이다. 금융위원회는 전자금융거래법 시행령, 시행규칙과 함께 전자금융거래 준수여부를 감독하기 위한 전자금융감독규정을 제정한바 있다.
인터넷뱅킹 계좌 등록수는 몇명인가?
인터넷뱅킹 계좌 등록수가 8,000만명이 넘을 정도로 전자금융거래가 활발해진만큼 금융정보탈취를 목적으로 하는 해킹 또한 지속적으로 증가하였고 안전한 전자금융거래를 위해 금융감독기관은 금융기관이 준수해야 하는 다양한 규제를 발표하였다[12,13]. 금융기관이 전자금융거래시 반드시 준수해야 하는 법령은 전자금융거래법이다.
금융위에서 주관하는 각종 컴플라이언스의 문제는 무엇인가?
또한 금융위원회는 전자금융거래의 안전성을 확보하기 위해 “금융회사 정보기술(IT)부문 보호업무 모범규준(이하 “모범규준”)을 제정하였고 사실상의 모든 금융기관은 전자금융거래법 시행령·시행규칙, 전자금융감독규정 및 모범규준 등 금융위에서 주관하는 각종 컴플라이언스(이하 ‘금융IT 컴플라이언스‘라 한다)를 준수해야 한다[7-11]. 문제는 금융IT 컴플라이언스를 준수해야 하는 금융기관 수가 4,500여 기관에 달한다는 것이다. 금융 IT 컴플라이언스‘를 준수해야 하는 금융기관의 수가 많은 것만이 문제가 아니다. 금융IT 컴플라이언스를 준수하기 위하여 금융기관은 예산의 배정과 함께 조직의 구성, 솔루션의 도입 및 정보보호 컨설팅을 주기적으로 받고 취약점 분석 결과를 금융감독기관에 보고하여야 한다. 하지만 취약점 분석▪평가를 자체적으로 수행할 수 있는 금융기관은 극히 제한적이기 때문에 법에 의해 취약점 분석▪평가를 할 수 있는 자격을 가진 정보보호컨설팅전문업체 또는 정보공유분석센터를 통해 그 결과를 득해야 한다. 문제는 정보보호컨설팅을 수행할 수 있는 자격을 가진 기관의 수가 10개 미만으로 대상금융기관의 수에 비해 턱없이 부족하다는 점이다. 이에 따라 금융감독기관 또한 모든 금융기관을 대상으로 한 실태조사 등 감독업무를 수행하기에 어려움이 따른다. 따라서 금융IT 컴플라이언스를 준수해야하는 금융기관, 감독기관 및 금융IT컴플라이언스를 지원하는 정보보호사업자 모두 시스템기반의 금융IT 컴플라이언스 매니지먼트가 필요하다.
참고문헌 (13)
N. Racz, E. Weippl, and A. Seufert, "A process model for integrated IT governance, risk, and compliance management," Databases and Information Systems, Proc. of the Ninth Internantional Baltic Conference(DB &IS 2010), Riga University Press, Jul. 2010. pp. 155-170.
Racz, N., Weippl, E. & Seufert, A.: A frame of reference for research of integrated governance, risk, and compliance (GRC). In: Proceedings of the 11th TC11 Conference on Communications and Multimedia Security (2010)
PricewaterhouseCoopers: Integrity-Driven Performance. A New Strategy for Success Through Integrated Governance, Risk and Compliance Management. http://www.globalcompliance.com/pdf/PwCIntegrityDrivenPerformance.pdf (2004)
Frigo, M.L., Anderson, R.J.: A Strategic Framework for Governance, Risk, and Compliance. Strategic Finance 44:1, 20-61(2009)
ISO/IEC 38500:2008. Corporate governance of information technology, ISO/IEC
Taehee Kim, YoungTae Kim, Jaemo Sung "Study on Financial IT Security Compliance Framework" 35th Korea Information Processing Society Spring Conference 18 1, 2011
Junho Lee, Haeseok Oh, "The Research for Financial IT Compliance Management Framework based on Cloud" Korea Society of IT Services Spring Conrerence Paper, 2013
Financial Security Agency, "Report of IT Compliance Analysis on Financial Sector" 2009
※ AI-Helper는 부적절한 답변을 할 수 있습니다.