나. 사이버복원력 평가지침 마련
BIS CPMI-IOSCO는 분산서비스공격(DDoS), 지능형 지속공격(APT), 랜섬웨어 등 광범위하게 발생되고 있는 사이버공격이 금융기관에 심각한 운영리스크를 유발할 수 있는 요인이라는 인식하에「FMI 사이버복원력 지침」(2016.6월)을 공표하였다. 사이버복원력(cyber resilience)은 사이버침해 이후 핵심업무를 신속하게 복구하여 업무를 재개할 수 있도록 하는 복원능력을 가리키는 것으로 종전의 사이버침해의 예방과 방어에 중점을 둔 사이버 보안(cyber security)과는 구별되는 개념이다.
한국은행은 이러한 국제적 움직임에 부응하여 2016년 6월「국내 FMI에 대한 사이버복원력 강화 방안」을 수립한 데 이어, 2017년 8월에는「FMI 사이버복원력 지침」을 국내 상황에 맞게 적용한「사이버복원력 평가지침」(이하 ‘평가지침’)을 마련하였다. 평가지침은 FMI가 사이버리스크 대응체계를 자가 진단할 수 있도록 59개 질문항목으로 구성되었으며, 2017년 한국예탁결제원과 한국거래소가 운영하는 중요 지급결제시스템에 대한 정기평가 시 추가적인 평가기준으로 사용하였다.
한편, 평가지침에서는 종전 3시간으로 규정하고 있던 복구목표시간(RTO)을 국제기준에 맞춰 2시간으로 단축할 것을 권고하였으며, FMI와 상호 연결된 에코시스템으로부터 야기되는 사이버리스크의 식별과 대응방안도 평가하도록 요구하고 있다.