〈참고 5〉
중요 자금결제시스템의 서비스제공기관에 대한 영란은행의 감독
□ 서비스제공기관의 정의：서비스제공기관은 정보기술, 원격통신, 메시지 서비스 등 중요 자금결제시스템의 운영에 필수적인 기능을 제공하는 기관
ㅇ 중요 자금결제시스템의 원활한 운영을 위해서는 운영에 필수적인 일부 요소를 위탁받은 제3자(인프라 또는 서비스제공기관)의 기능이 중요
□ 감독대상 포함：재무부는 은행법을 개정하여 중요 자금결제시스템의 서비스제공기관을 은행법 적용대상에 포함하였으며, 재무부는 은행법 적용대상 서비스제공기관을 명시하여야 함
ㅇ 특정 서비스제공기관에 대한 영란은행의 감독권한 부여는 영란은행의 금융안정 보호 목적을 달성하기 위해 도움이 될 것으로 기대
□ 영란은행의 권한：영란은행은 서비스제공기관에 대한 원칙을 제정할 수 있는 권한을 보유하고 있으며, 영란은행은 현재 서비스제공기관에 ‘금융시장인프라에 관한 원칙’의 부록 F를 준수할 것을 요구
ㅇ 서비스제공기관은 부록 F의 사항에 대한 자기평가서를 영란은행에 매년 제출해야 함
ㅇ 또한 영란은행은 자료제출 요구권, 규칙 제정권, 시정조치권, 명령에 의한 강제권 등을 보유
□ 영란은행의 감독수행：영란은행은 금융안정에 영향을 미칠 수 있는 주요 리스크 분석 등 서비스제공기관에 대한 평가를 최소 연 1회 수행
ㅇ 동 평가 이외에 시스템 운영 전반에 걸쳐 리스크를 최소화하고 있는지 여부를 핵심 검증체계를 통해 점검
ㅇ 또한, 중요 자금결제시스템 운영기관은 기존과 같이 서비스제공기관의 감시의 주 역할을 담당하여 리스크의 모니터링과 관리를 지속하고 리스크 축소를 위해 노력해야 하며 영란은행과 보완적인 감시역할을 수행
〈참고 6〉
CBEST의 개요
□ 개요：CBEST는 시스템적으로 중요한 기관에 대해 인텔리전스에 기반한 모의침투테스트를 실시하여 영국의 금융서비스 부문이 사이버공격에 대한 복원력을 유지할 수 있도록 하는 보안 평가체계
□ 참가기관：CBEST 평가는 1) 기업 또는 FMI, 2) 규제당국(PRA, FCA 등), 3) 영란은행 Cyber Sector Team, 4) 위협 인텔리전스 서비스 제공기관, 5) 모의침투훈련 서비스 제공기관의 협업으로 이루어짐
□ CBEST 평가과정：CBEST 평가과정은 4단계로 구성되어 있음
① 평가시작(initiation phase)： CBEST 평가가 공식적으로 시작되고 평가범위 설정과 위협 인텔리전스 및 모의침투훈련 서비스 제공기관 선정(4~6주)
② 위협 인텔리전스(threat intelligence phase)： 핵심적인 위협 인텔리전스 최종 결과물이 생성되고 위협 시나리오를 기반으로 모의침투훈련 계획안을 개발(10주)
③ 모의침투훈련(penetration testing phase)： 인텔리전스를 기반으로 목표 시스템 및 서비스에 대해 모의침투훈련 실시, 실시내용 점검, 위협감지 및 대응능력 평가(10주)
④ 평가종료(closure phase)： 영란은행의 Cyber Sector Team은 인텔리전스, 감지, 대응 보고서(Intelligence, Detection and Response Report)를 작성하며, 기업/FMI는 개선방안(remediation plan)을 마련하고(4주) 이후 규제당국은 개선방안의 수행에 대해 지속적으로 감독(6~12개월)