492.1
 |
금융회사들이 클라우드·서비스형 소프트웨어(SaaS) 등 외부 IT 서비스를 이용하거나 정보처리 업무를 제3자에게 맡길 경우 이사회가 관련 위험 관리의 최종 책임을 지게 된다. 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 주요 수탁업체는 별도로 지정해 반기마다 IT 리스크를 평가해야 한다.
금융감독원은 은행연합회와 금융투자협회, 생명·손해보험협회 등 7개 금융업권 협회·중앙회와 함께 이 같은 내용의 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다고 29일 밝혔다.
최근 금융회사의 클라우드와 SaaS 활용, IT 업무 외부 위탁이 보편화하면서 외부 업체의 서비스 장애나 해킹, 정보 유출이 금융회사뿐 아니라 금융소비자 피해로 이어질 수 있다는 우려가 커진 데 따른 조치다. 일반 업무 위탁에 따른 제3자 리스크 관리 기준은 있었지만 사이버 보안과 정보보호 등 IT 업무의 특성을 충분히 반영하지 못했다는 판단이다.
가이드라인은 우선 제3자 IT 리스크 관리의 최종 책임이 금융회사 이사회에 있다는 점을 명시했다. 이사회는 관련 정책과 감독의 주요 사항을 심의·의결하고, 경영진은 리스크 관리 체계를 구축·시행·유지해야 한다.
경영진은 제3자 IT 리스크를 전담하는 총괄관리부서도 지정해야 한다. 총괄관리부서는 정보처리 업무 위탁 현황을 총괄하고 보안 대책과 비상 대응, 백업 체계 등을 마련한다. 금융회사는 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 통제 체계를 구축하게 된다.
수탁업체에 대한 관리도 강화된다. 금융회사는 외부 업체의 재무 건전성과 제공 서비스, 처리 정보의 종류와 규모, 암호화·통신 방식, 사고 대응 체계와 전산 설비 등을 파악하고 반기 1회 이상 점검해 관련 정보를 최신 상태로 유지해야 한다.
금융회사 업무나 소비자에게 중대한 영향을 미치는 업체는 '주요 제3자'로 별도 지정해 강화된 관리 기준을 적용한다. 평가 과정에서 발견된 위험을 통제하거나 줄일 수 없을 경우 계약을 중단하거나 이사회가 계약 유지 여부를 직접 결정하도록 했다.
계약 단계별 관리 절차도 구체화했다. 계약 전에는 현장 실사 등을 통해 외부 업체의 서비스 역량과 정보보호 체계를 검증하고 사고 발생 시 책임 관계와 업무 분담을 계약서에 반영해야 한다.
계약 기간에는 이행 현황을 연 1회 이상 점검하고 시스템 중단에 대비한 비상 대책과 백업 체계, 계약 종료에 대비한 출구 전략을 마련해야 한다. 계약이 끝난 뒤에는 정보 자산을 돌려받고 접근 권한을 말소하는 한편 보유 정보를 완전히 파기해야 한다.
 |
주요 제3자는 반기마다 IT 리스크를 평가하고 재해 복구 훈련과 비상 대응 훈련에도 참여시켜야 한다. 대체 사업자나 서비스 등 계약 종료 이후 사용할 수 있는 수단도 사전에 검토하도록 했다.
다만 이번 가이드라인은 최소한의 기준과 원칙을 담은 '소프트 룰'로 운영된다. 금융회사는 위탁 업무의 중요도와 위험성에 따라 일부 기준을 강화하거나 완화해 적용할 수 있다.
업권별 협회와 중앙회는 가이드라인을 토대로 모범규준을 제정해 오는 11월 이후 시행할 예정이다. 금융회사 내규 개정과 조직·인력 개편 등에 필요한 기간에 따라 실제 적용 시점은 일부 조정될 수 있다.
금감원 관계자는 "'사전예방적 디지털 리스크 감독방안'을 지속 추진함으로써 금융 부문의 디지털 혁신이 철저한 위험관리를 기반으로 건전하게 이루어질 수 있도록 적극 지원할 계획"이라고 설명했다.
