"외부 IT 장애가 금융위기로"···금감원, 제3자 IT리스크 관리 강화

제3자 정보처리 위탁 업무 체계적 관리 방안 도입경영진 리스크 책임 및 계약 단계별 점검 절차 신설금융소비자 피해 예방 위한 주요 회사 별도 관리

금감원 사진=강민석 기자 kms@newsway.co.kr

금융감독원이 클라우드·SaaS 등 외부 IT서비스 확산에 따른 보안 위험에 대응하기 위해 '제3자 IT리스크 관리 가이드라인'을 마련하고 오는 11월 이후 시행에 나선다.

29일 금융권에 따르면 금융감독원은 은행연합회·금융투자협회·생명·손해보험협회 등 업권별 협회와 함께 금융회사의 정보처리업무 위탁 과정에서 발생하는 IT 리스크를 체계적으로 관리하기 위한 가이드라인을 마련했다.

최근 금융권은 디지털 전환 가속화로 클라우드 및 SaaS 등 외부 IT 서비스 활용이 확대되고 있으며 IT 업무를 외부 제 3자에게 위탁하는 사례가 보편화 됐다. 이에 따라 서비스 장애나 해킹, 정보유출 발생 시 금융회사뿐 아니라 금융소비자 피해로 이어질 수 있다는 우려가 커지고 있다. 그러나 기존 제3자 리스크 관리 기준은 판매·결제 등 일반 업무 중심으로 설계돼 IT 특유의 사이버보안·정보보호 위험을 충분히 반영하지 못했다는 지적이 있었다.

이번 가이드라인은 이러한 한계를 보완해 ▲이사회 및 경영진 책임 명확화 ▲리스크 식별·평가 체계 구축 ▲계약 전·중·후 단계별 관리 절차 등을 핵심으로 담았다.

우선 이사회가 제3자 IT리스크 관리의 최종 책임을 지도록 하고 경영진은 관리체계를 구축·운영하는 주체로 규정했다. 특히 '총괄관리부서'를 중심으로 리스크관리부서와 내부감사부서가 참여하는 3단계 통제체계를 마련해 전사적 관리 체계를 구축하도록 했다.

또한 위탁 대상 제3자의 재무건전성, 정보보호 수준, 시스템 운영 역량 등을 정기적으로 점검하고 금융회사나 소비자에 중대한 영향을 미칠 수 있는 '주요 제3자'는 별도로 지정해 강화된 관리 기준을 적용하도록 했다.

계약 단계별 관리도 강화된다. 계약 체결 전에는 현장실사 등을 통해 보안 및 서비스 역량을 검증하고 계약 기간 중에는 정기 점검과 비상 대응 체계, 백업 및 업무 연속성 확보 방안을 마련해야 한다. 계약 종료 이후에는 정보자산 반납, 접근권한 삭제, 데이터 완전 파기 등 후속 조치를 의무화했다.

금융감독원은 이번 가이드라인을 '최소 기준' 성격의 자율규제로 제시하고 금융회사가 업무 중요도에 따라 유연하게 적용할 수 있도록 했다. 업권별 협회는 이를 바탕으로 모범규준을 마련해 올해 11월 이후 시행할 예정이다.

금감원 관계자는 "향후 이행 실태를 점검하고 미비점을 보완하는 한편 사전예방적 디지털 리스크 감독을 지속 추진해 금융권의 디지털 혁신이 안정적으로 이뤄지도록 지원할 계획"이라고 밝혔다.