연합뉴스금융감독원은 금융회사가 개인정보 유출-해킹 사고 등 IT 리스크게 체계적으로 대응할 수 있도록 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다고 29일 밝혔다.
금융의 디지털화가 빠르게 진전되면서 금융회사들이 클라우드와 같은 외부 IT 서비스를 활용하거나 외부 제 3자에 위탁하는 사례들이 늘고 있다. 해킹 등 침해사고나 정보 유출이 발생할 경우 회사는 물론 금융소비자까지 큰 피해를 초래할 수 있다. 이에 금융감독원은 금융협회-중앙회와 함게 정부처리 업무 위탁으로 인한 제3자 라스크를 효과적으로 관리하기 위한 가이드라인을 마련했다.
먼저, 이사회가 IT 리스크 관리의 최종 책임을 지도록 명시하고, 위험 관리 정책과 감독 관련 주요 사항을 심의 의결사항으로 규정해 역할과 책임을 명확히 했다. 제3자 IT 리스크 관레 체계 구축과 시행 주체로 경영진을 명시하고, 각 사업부서의 정보처리 업무위탁 현황을 총괄하도록 했다.
제3자 IT리스크 관리를 위한 금융회사 거버넌스. 금융감독원 제공이를 위해 금융회사가 제3자 IT 리스크를 체계적으로 관리할 수 있도록 총괄 관리 부서–리스크 관리 부서–내부 감사 부서'로 구성되는 '3단계 통제 체계'를 구축·운영하도록 할 예정이다.
위탁계약사 재무 상황도 주기적으로 점검해 업무 관련 주요 정보를 최신으로 유지한다. 제3자 별로 IT 리스크를 실효성 있게 평가할 수 있도록 평가 항목과 체크 리스트를 구체적으로 제시하고, 만일 통제·경감·이전이 불가능할 경우 계약을 중단하거나, 이사회가 유지 여부를 결정한다.
계약 단계별 리스크 관리 절차도 체계화한다. 계약 전에는 현장 실사를 통해 서비스 역량을 검증하고, 계약 이후에는 이행 현황을 연 1회 이상 정기적으로 점검한다. 계약을 종료한 뒤에는 정보 자산을 반납하고 접근권한을 말소하는 등 정보 파기를 수행한다.
금감원은 이번 가이드라인을 금융회사들이 일부 내용을 자신에 맞게 강화 혹은 완화하는 등 유연하게 적용하도록 할 방침이다.
금융감독원 관계자는 협회 등이 이번 가이드라인을 오는 11월 이후 시행할 수 있도록 적극 지원할 계획이다.
영문기사 보기 (View English Article)