금융정보분석원 정보시스템 운영·관리 지침

제1장 총 칙

이 지침은 「특정금융거래정보의 보고 및 이용 등에 관한 법률」시행령 제5조제2항 규정에 의거 금융정보분석원 정보시스템 사용을 위해 필요한 사항을 규정함으로써 시스템의 안정적 관리와 업무의 효율성을 제고함에 그 목적이 있다.<개정 2009.2.23>

이 지침은 금융정보분석원(이하 ‘분석원‘이라고 한다) 소속 공무원 및 금융기관 등으로부터 파견되어 근무 중인 직원에게 적용한다.<개정 2007.10.1, 2009.2.23>

①이 지침에서 사용하는 용어의 정의는 다음과 같다.

1. ‘금융정보분석원 정보시스템‘이라 함은 특정금융거래정보 등의 효율적 관리 및 분석을 위하여 구축하는 분석원 전용 전산관리시스템을 말한다.(이하 ‘시스템’이라 한다)<개정 2007.10.1, 2009.2.23>

2. ‘혐의거래보고’라 함은 특정금융거래정보의보고및이용등에관한법률 제4조에 의거 금융기관 등이 보고한 정보를 말한다.

3. ‘개인정보’라 함은 생존하는 개인에 관한 정보로서 당해 정보에 포함되어 있는 성명·주민등록번호 등의 사항에 의하여 당해 개인을 식별할 수 있는 정보(당해 정보만으로는 특정인을 식별할 수 없더라도 다른 정보와 용이하게 결합하여 식별할 수 있는 것을 포함한다)를 말한다.

4. ‘전산보안‘이라 함은 정보통신 수단에 의하여 처리, 저장, 소통되는 정보를 보호하거나 해킹 등 외부 위협으로부터 취약요인을 제거하기 위한 각종 수단과 방법을 말한다.

5. ‘전산자료’라 함은 각종 정보(data)가 전산장비에 의하여 입력, 보관되어 있는 것을 말하며, 그 자료가 입력되어 있는 자기테이프, 디스크 등 보조기억매체를 포함한다.

6. ‘전산담당자’라 함은 기획행정실 전산담당 사무관 및 직원을 말한다.<개정 2007.10.1, 2009.2.23>

② 이 지침에서 열거되지 아니한 용어에 대한 정의는 분석원 업무처리지침에 따른다.

①기획행정실장은 분석원의 정보화를 총괄 조정하고 장단기 정보화 전략을 체계적으로 추진하는 ‘정보화책임관‘과 개인정보의 오·남용을 방지하는 ‘개인 정보보호책임관‘으로서 다음과 같은 업무를 수행한다.<개정 2009.2.23>

1. 장·단기 정보화전략 수립·시행

2. 시스템 평가 및 보안감사 실시 <개정 2009.2.23>

3. 개인정보보호 대책 수립 및 교육·홍보

② 정보관리팀장은 시스템을 개발·관리하는 ‘정보화담당관’과 ‘전산보안담당관’으로서 다음과 같은 업무를 수행한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

1.시스템 개발·관리, 유지보수 및 사용자교육<개정 2009.2.23>

2. 정보화 기술동향 분석 및 활용방안 수립

3. 시스템접근권한 등록

4. 전산보안 대책의 수립·시행

제2장 금융정보분석원 정보시스템 운영·관리<개정 2009.2.23>

① 「시스템」은 혐의거래보고 등 특정금융거래정보의 접수·배당·분석·제공 등 일련의 업무흐름을 통제하고 그 결과를 관리하는「특정금융정보관리시스템」과 외국환거래·지급수단수출입·신용정보 등 분석원이 수집하는 각종 정보를 연계하여 분석할 수 있는「특정금융정보분석시스템」을 구축하고, 이를 통하여 분석원의 심사분석 역량을 강화하도록 한다.<개정 2009.2.23>

② 개인정보유출 가능성 증대 등 정보화의 취약성에 효과적으로 대응할 수 있는「보안관리시스템」을 구축하고, 시스템 전산망은 폐쇄망으로 구성하여 외부인의 접근을 차단하며, 이용자의 전산자료 이용내역은 시스템이 자동적으로 기록·관리하도록 하여 보안위규자에 대한 추적이 가능하도록 한다.

③ 보유하고 있는 전산자원을 최대한 활용하여 분석원이 생산 또는 보유하고 있는 중요문서를 시스템에 등록·관리함으로써 조직의 정보화를 촉진하고 지식관리시스템 구축을 위한 기반을 조성한다.

① 시스템은 정보관리팀장이 총괄하여 운영·관리하며, 시스템 장애 발생시 이를 즉시 원장에게 보고하는 등, 필요한 조치를 취하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 정보관리팀장은 시스템의 효율적 관리를 위하여 전산담당자중 1명을 시스템관리담당자로 지정하여 이용자 등록, 전산실·서버·응용프로그램·네트워크·접속용 PC 등에 대한 보안관리 업무를 전담하 게 하고, 전산담당자중 1명은 데이터베이스 관리담당자로 지정하여 외부로부터 수집되는 지급수단수출입·신용정보 등을 시스템에 적재하고, 데이터의 정제 업무 등을 전담하도록 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 시스템에 접근할 수 있는 자는 원장, 각 실·과장, 기획협력팀장, 전략분석팀장, 심사기획팀장, 정보분석팀장, 심사분석실·과 정보문서취급자 및 정보담당직원, 기획행정실 서무담당자, 제도운영과의 보고기관운영 담당자, 기획행정실 전산담당자로 한다.<개정 2002.7.31, 2007.10.1, 2009.2.23, 2014.8.12>

② 제1항에 의거 시스템 접근권한을 부여받고자 하는 자는 별지 제 1호 서식에 의한 ‘사용자 ID발급(해제·권한변경·대리위임) 신청서’를 작성하여 당해 실·과장의 확인을 거쳐 정보관리팀장에게 제출하여야 한다. 다만, 전입·전출 ·퇴직 등 인사부서의 공식 인사발령으로 권한의 변동이 발생하는 경우에는 정보관리팀장은 별도의 신청절차 없이 사용자 ID를 부여하거나 해제할 수 있다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

③ 정보관리팀장은 시스템관리담당자로 하여금 시스템접근 권한을 설정·해제·변경토록 하되, 권한 설정에 필요한 지문등록은 반드시 시스템관리담당자의 입회 하에 실시하도록 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 정보관리팀장은 시스템 접근권한을 부여받은 자라 하더라도 이용자별로 사용할 수 있는 화면을 차별화하여 제공함으로써 정당한 권한이 없는 자의 전산자료에 대한 접근을 방지하여야 한다. 이 경우 이용자별로 제공되는 화면의 구체적인 내용은 정보관리팀장이 각 실·과장과 협의하여 정한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 혐의거래보고서 등 정보관련문서는 분석원 업무처리지침에 따라 동 문서를 처리할 권한이 있는 자만이 열람 등을 할 수 있도록 특정금융정보관리시스템이 그 흐름을 엄격히 통제하도록 시스템을 구성·운영한다.

③ 신용정보집중기관으로부터 입력되는 개인신용정보, 외환전산망으로부터 입력되는 외국환거래자료, 관세청(세관)으로부터 수집한 지급수단수출입자료, 기타 민간신용기관으로부터 수집한 기업 및 개인 신용정보 등에 대한 조회·검색은 심사분석을 담당하는 자에게만 할 수 있도록 한다. 다만, 조회·검색 대상은 당해 심사분석과 관련된 거래정보 및 신용정보에 국한하며, 조회·검색을 한 경우에는 시스템에 자동으로 기록이 남아 있도록 하여야 한다.<개정 2007.10.1>

④ 삭제 <2007.10.1>

① 전산담당사무관은 전산자료 이용내역을 주기적으로 모니터링하고, 그 결과를 정보관리팀장을 거쳐 기획행정실장에게 보고하여야 한다.<개정 2015.6.1>

② 각 실·과장은 각 소속 직원들의 전산자료 사용내역을 시스템상에서 주기적으로 사후 보고받아 이를 모니터링 한다. 다만, 심사분석실의 경우 심사기획팀장 또는 전략분석팀장이 그 업무를 대리할 수 있다.<개정 2007.10.1, 2009.2.23, 2014.8.12>

① 입력된 전산자료에 대한 오류의 수정·삭제는 분석원 업무처리지침이 정하는 바에 따라 정보관리팀장이 지정하는 전산담당사무관이 실시한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 삭제 <2007.10.1>

① 정보관리팀장은 시스템 개발 및 유지보수 사업자의 사업진행 상황 및 개인정보 부당유출 여부 등을 상시 관리·감독하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 시스템 개발 및 유지보수 사업자에게는 제7조 제1항에도 불구하고 별지 제1호 서식에 의한 ‘사용자 ID발급신청서’를 제출받아 사용기간을 명시하여 시스템접근권한을 부여하되, 각종 응용프로그램 개발시 사용하는 데이터는 가상의 것으로 하고, 개발이 완료된 이후 전산담당자의 입회 하에 실 데이터에 의해 검증한다.<개정 2007.10.1>

③ 정보관리팀장은 전산담당사무관을 지정하여 다음과 같이 시스템 개발 및 유지보수 사업자의 관리·감독을 실시하게 한다.<개정, 2009.2.23, 2015.6.1>

1. 개발이 완료된 응용프로그램 등을 사용하고자 할 때에는 개발사업자로 하여금 사용자 지침서를 작성

2. 개발이 완료된 응용프로그램 등을 이용하는 자를 대상으로 교육 실시<개정 2007.10.1>

제2장의2 금융정보분석원 정보화운영심의회<신설 2009.2.23>

① 자금세탁방지제도의 선진화와 분석원의 효율적 운영을 위하여 중장기 정보화 운영계획 및 그에 따른 보안대책 등을 심의하기 위하여「금융정보분석원 정보화운영심의회」(이하 ‘심의회’라 한다)를 둔다.

① 심의회의 위원장은 기획행정실장으로 한다.

② 심의회의 위원은 분석원 각 과장 및 팀장으로 한다. 단, 이들 중 정보관리팀장은 제외한다.<개정 2015.6.1>

③ 심의회의 간사는 정보관리팀장으로 한다.<개정 2015.6.1>

심의회는 다음 각호의 사항을 심의한다.

가. 분석원 중장기 정보화 종합계획

나. 분석원 정보화 시행계획

다. 분석원 정보화에 따른 업무처리 절차 및 제도개선

라. 제29조에 의한 보안대책

마. 개인정보보호 대책 및 보안위규자에 대한 제재수준

바. 기타 위원장이 필요하다고 인정하는 사항

① 심의회는 반기 1회 개최를 원칙으로 하며 위원장이 필요하다고 인정하거나 재적위원 과반수가 요청하는 경우 수시로 개최한다.

② 심의회는 재적위원 과반수 출석과 출석위원 과반수 찬성으로 안건을 의결한다.

③ 심의회는 서면으로 안건을 의결할 수 있다. 이 경우 재적위원 과반수 찬성으로 의결한다.

④ 간사는 심의회의 회의 경과 내용을 요약하여 회의록으로 작성·비치하여야 한다.

⑤ 심의회는 필요에 따라 관계 민간전문가 및 관계공무원 등의 의견을 청취할 수 있다

⑥ 관계 민간전문가가 심의회에 참석하는 경우 예산의 범위내에서 수당을 지급할 수 있다.

제3장 전 산 입 력

혐의거래보고 등 정보관련문서는 분석원 업무처리지침이 정하는 바에 따라 당해 업무를 처리하는 정보문서취급자 또는 정보담당직원이「특정금융정보관리시스템」에 표준화된 서식에 따라 입력하여야 한다. 다만, 첨부서류 등 비정형문서를 시스템에 입력하고자 하는 자는 당해 실·과장의 승인을 얻어 이를 요약 또는 스캔화한 화일을 첨부·등록한다.

① 외환정보집중기관으로부터 제공받는 외국환거래정보 및 종합신용정보집중기관으로부터 제공받는 신용거래정보는 전용선 또는 보안이 확보된 전산망을 통해 시스템에 자동 입력되도록 한다.<개정 2007.10.1, 2009.2.23>

② 관세청(세관)으로부터 제공받는 지급수단수출입정보와 민간 신용정보기관으로부터 수집하는 기업 및 개인 신용정보는 전산담당사무관이 온라인으로 수집하여 기획협력팀장의 결재를 받은 후 데이터베이스 관리담당자로 하여금 시스템에 입력하도록 한다.<개정 2007.10.1, 2009.2.23>

③ 삭제 <2007.10.1>

④ 삭제 <2007.10.1>

① 각 실·과장은 외부로부터 정기적으로 제공받아 시스템에 적재하고자 할 정보가 있는 경우 기획협력팀장과 사전 협의를 거쳐야 한다. 기존에 제공받는 자료를 제공받지 않기로 하였거나 제공 시기와 방법 등을 변경한 경우에도 이와 같다.<개정 2007.10.1, 2009.2.23>

② 기획협력팀장은 외부입수정보에 대한 현황을 관리하며, 외부입수정보의 항목을 새로 추가하고자 할 때에는 원장에게 이를 보고하여야 한다.<개정 2007.10.1, 2009.2.23>

① 각 실·과장은 분석원의 정보공유를 확산하고 자료의 통합적 관리를 위해 다음과 같은 중요문서나 활용가치가 높은 자료를 정보문서취급자(정보문서취급자가 없는 실·과는 시스템접근 권한이 있는 직원)로 하여금 시스템에 등록하도록 하여야 한다.<개정 2002.7.31, 2007.10.1>

1. 자금세탁 관련 법령, 지침, 예규, 편람 및 외국 금융정보분석기구와의 양해각서<개정 2009.2.23>

2. 외국 금융정보분석기구관련 법령 및 제도관련 소개 자료<개정 2009.2.23>

3. 분석원 업무보고 및 국회 질의·답변서

4. 교육·홍보·보도자료

5. 자금세탁 관련 기사 등

② 제1항에 의한 등록은 시스템이 제공하는 양식에 의거 제목 등 기본사항을 입력한 후 당해 파일을 첨부하는 방식으로 한다.

③ 각 실·과 정보문서취급자(정보문서취급자가 없는 실·과는 시스템접근 권한이 있는 직원)는 수시로 시스템에 접속하여 정보공유를 위해 등록된 생산문서 등을 열람하고, 시스템 접속권한이 없는 자에게도 유용하다고 판단되는 경우 이를 해당과 직원들에게 전파하여야 한다.<개정 2002.7.31, 2007.10.1>

제4장 전략적 심사분석

삭제<2007.10.1>

삭제<2007.10.1>

삭제<2007.10.1>

삭제<2007.10.1>

제5장 혐의거래보고 프로그램의 배포·관리

① 금융기관등으로부터 특정금융거래정보를 보고받고자 할 경우에는 암호화된 파일을 사용하도록 하여야 한다.<개정 2007.10.1>

② 기획협력팀장은 특정금융거래정보를 보고받기 위해 금융기관등에게 암호화 프로그램을 제작·배포하고, 암복호화를 위해서 공인인증서를 사용하도록 하여야 한다.<개정 2007.10.1, 2009.2.23>

삭제<2007.10.1>

삭제<2007.10.1>

제6장 전 산 보 안 관 리

삭제<2009.2.23>

주 전산기가 설치되어 있는 전산실은 통제구역으로 한다. 정보관리팀장은 시스템관리담당자로 하여금 비인가자의 출입을 통제하여야 한다. 다만, 부득이한 사유로 비인가자의 출입을 허용할 경우에는 미리 정보관리팀장의 승인과 담당자의 안내를 받도록 하고 출입자관리대장에 그 내용을 기록하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 시스템에 대한 접속은 지문인식마우스 등이 설치된 접속전용 컴퓨터(PC)를 통해서만 할 수 있다.

② 이용자는 정보관리팀장의 사전 승인없이 접속전용 컴퓨터에 응용 프로그램을 설치하거나 삭제할 수 없으며, 장애 발생시 이를 즉시 정보관리팀장에게 통보하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

③ 정보관리팀장은 비인가자가 무단으로 서버에 접속하지 않도록 서버 사용자에 대한 계정 및 패스워드 관리방안을 마련하여 운용하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 사용자는 접속전용 컴퓨터를 인터넷 등 외부 공중망에 연결하여 사용할 수 없다.

② 시스템관리담당자는 외부기관과의 연결을 위해 설치된 방화벽 등 보안설비가 외부의 위협으로부터 시스템을 보호하고, 내부자료의 유출을 충분히 방지할 수 있는지를 점검하여야 한다.<개정 2007.10.1>

③ 시스템관리담당자는 내부망의 변환상태를 주기적으로 점검하고, 시스템 이용자가 내부규정을 준수하고 있는지 수시로 확인하여야 한다.

④ 정보관리팀장은 IP 주소 등 상세한 전산시스템 운용현황과 침입차단시스템, 보안장비설치 등 보안대책이 기록된 전산망 구성도를 대외비이상으로 분류하여 관리하도록 하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 정보관리팀장은 전산담당 사무관으로 하여금 비인가자의 데이터 변형 및 유출, 삭제 등을 예방하기 위해 데이터에 대한 접근 통제 및 데이터베이스 관리시스템에 대한 보안방안을 마련하고, 서버에 대한 백업을 주기적으로 실시하도록 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 백업된 자료는 전산실과 격리된 안전한 장소에 보관하고 데이터베이스 관리담당자로 하여금 자료가 유실되거나 대외로 유출되지 않도록 관리하여야 한다.

③ 정보관리팀장은 서버 및 응용시스템의 사용자계정 설정과 비밀번호 부여 등 다양한 보안대책을 수립하고, 접속 및 사용내역에 대한 추적이 가능하도록 시스템에 로그기능을 설치·운용한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

④ 로그관리 활동은 접속의 성공여부와 무관하게 기록·유지하여야 하며 시스템 접근기록을 매일 점검하여 비인가자의 무단침입 여부를 확인한다.

① 응용프로그램 개발 시에는 사용 데이터, 사용자계정, 비밀번호 및 기타 전산망 접근과 관계되는 중요정보는 소스 코드로부터 분리하여 보관하도록 하여야 한다.

② 응용프로그램의 추가, 삭제 또는 변경은 정보관리팀장의 허가를 득한 후에 전산담당자에 의해 실시하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

③ 정보관리팀장은 개발자의 시스템 사용에 대한 로그정보를 주기적으로 분석하여 자료의 불법 접근 및 변조에 대한 위험성을 사전에 방지하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

① 정보관리팀장은 시스템에 대한 부문별 보안대책을 수립·시행하여야 한다.<개정 2007.10.1, 2009.2.23, 2015.6.1>

② 부문별 보안대책에는 전산실관리, 서버보안, 네트워크보안, 응용시스템보안, 데이터베이스보안, PC보안에 대한 위험요소 및 이에 대한 대응 방안과 재난에 대비한 복구계획이 포함되어야 한다.