"IT 해킹·장애 책임은 이사회에"… 금감원, 제3자 IT 리스크 관리 기준 제시

[포인트경제] 금융당국이 금융회사의 외부 IT 서비스 활용 및 정보처리 업무 위탁이 보편화됨에 따라 이에 따른 위험을 예방하기 위한 전사적 관리 기준을 마련했다.

금융감독원은 29일 정보처리 업무 위탁에 따른 IT 리스크를 체계적으로 관리하기 위한 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 수립했다고 밝혔다.

최근 금융권 내 클라우드와 소프트웨어 형 서비스(SaaS) 등 외부 IT 시스템 도입이 늘어나면서, 수탁회사에서 해킹이나 침해사고, 정보 유출, 서비스 장애가 발생할 경우 금융 소비자로 피해가 확산될 우려가 지속적으로 제기되어 왔다. 이에 금감원은 7개 금융협회 및 중앙회와 협력해 사이버 보안과 정보보호 특성을 반영한 자율규제 가이드라인을 새롭게 정립했다.

이사회 최종 책임 명시… '3단계 통제 체계' 구축

이번 가이드라인은 이사회가 제3자 IT 리스크 관리의 최종 책임을 지도록 명시한 점이 핵심이다. 위험 관리 정책과 감독 관련 주요 사항을 이사회 심의·의결 안건으로 규정해 지도부의 책임성과 관심을 높였다.

경영진은 제3자 IT 리스크 관리 체계를 구축·시행·유지하는 역할을 맡는다. 실무를 총괄할 '총괄관리부서'를 지정해 해킹·개인정보 유출 방지 대책, 전용회선 등 안전한 통신구간 보안, 정보시스템 장애 대비 비상대책, 중요 자료 백업 관리, 내부통제 체계 등 안전성 확보 조치를 수립하고 이행하도록 했다.

아울러 금융회사는 '총괄관리부서-리스크관리부서-내부감사부서'로 이어지는 3단계 전사적 통제 체계를 구축해 대응 역량을 확립해야 한다.

주요 수탁사 별도 관리… 계약 전·중·후 관리 절차 체계화

금융회사는 위탁 계약 상대방인 제3자의 재무건전성과 제공 서비스, 처리 정보 종류, 사고 대응 체계 등을 주기적으로 점검해 최신 상태로 관리해야 한다. 특히 금융회사 업무나 소비자에게 미치는 영향이 큰 곳은 '주요 제3자'로 별도 지정해 반기 1회 이상 IT 리스크 정기 평가와 재해복구 훈련 등 강화된 위험 관리를 적용한다.

계약 단계별 리스크 관리 절차도 구체화했다. 계약 전에는 현장실사를 통해 정보보호 관리 체계를 검증하고 필수 계약 항목을 반영하며, 계약 진행 중에는 정기적인 이행 현황 점검(연 1회 이상)과 출구 전략을 마련해야 한다. 계약 종료 후에는 정보자산 반납과 접근 권한 말소, 정보의 완전 파기 조치가 이뤄진다.

이번 가이드라인은 최소한의 기준을 제안하는 연성 규범(Soft Rule) 형태로 제시되어, 금융회사들이 위탁 업무의 중요도와 위험성에 맞춰 유연하게 조율할 수 있다.

금감원 관계자는 업권별 협회 및 중앙회와 함께 모범규준 제정 등을 거쳐 오는 11월 이후 본격 시행할 계획이라며, 이행 실태를 지속적으로 점검하고 평가해 금융권의 디지털 혁신이 건전한 위험 관리를 기반으로 이뤄지도록 지원하겠다고 강조했다.