)
최근 금융권이 클라우드와 SaaS 등 외부 IT서비스 의존도를 높이는 가운데 금융당국이 ‘외주 IT 리스크 관리’ 기준을 처음으로 마련했다. 앞으로는 외부 IT업체에서 장애나 해킹 사고가 발생해도 금융회사 이사회와 경영진이 최종 책임을 지고, 계약 전 실사부터 계약 종료 후 데이터 완전 삭제까지 전 과정을 관리하도록 했다.
금융감독원은 “은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회 등과 함께 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 마련했다”고 29일 밝혔다. 디지털 금융 확산으로 정보처리 업무를 외부 업체에 맡기는 사례가 늘어나는 가운데 위탁 과정에서 발생할 수 있는 정보보호와 사이버 보안 위험을 체계적으로 관리하기 위한 조치다. 업권별 협회는 이를 바탕으로 모범규준을 제정해 오는 11월 이후부터 순차적으로 시행할 예정이다.
가이드라인의 핵심은 제3자 IT 리스크에 대한 책임 주체를 명확히 했다는 점이다. 금융회사의 이사회는 제3자 IT 리스크 관리의 최종 책임을 지며 관련 정책과 감독 사항을 심의·의결해야 한다. 경영진은 관리체계를 구축·운영하는 역할을 맡고, 총괄관리부서를 지정해 정보처리 업무 위탁 현황과 위험 수준, 계약 적정성 등을 상시 관리하도록 했다. 이를 통해 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 통제체계를 구축하도록 했다.
금융회사는 앞으로 위탁업체의 재무건전성과 제공 서비스, 처리 정보의 종류와 규모, 암호화 방식, 사고 대응 체계, 전산설비 등을 사전에 식별하고 반기마다 점검해 정보를 최신 상태로 유지해야 한다. 특히 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 업체는 ‘주요 제3자’로 별도 지정해 강화된 관리체계를 적용한다. 위험을 통제하거나 이전하기 어려운 경우에는 계약을 중단하거나 이사회가 계약 유지 여부를 결정하도록 했다.
계약 단계별 관리 절차도 대폭 강화된다. 계약을 체결하기 전에는 현장 실사를 통해 서비스 역량과 정보보호 관리체계를 검증하고, 위·수탁사 간 역할과 사고 발생 시 책임 범위를 계약서에 명확히 반영해야 한다. 계약 기간에는 연 1회 이상 이행 상황을 점검하고 비상 대응 체계와 백업 관리, 업무연속성 확보 방안, 계약 종료를 대비한 출구전략을 마련해야 한다. 계약이 종료된 이후에는 정보자산을 반납하고 접근 권한을 삭제하는 것은 물론 모든 정보를 완전히 파기하도록 했다.
[관련 기사]
- 김윤덕 “GTX 철근누락 국토부 책임… 오세훈도 사과해야”
2026-05-20
- 정원오-오세훈, ‘부동산 지옥’ 서로 네 탓… 난타전
2026-05-03
- 마포구, 구정 성과 점검·중장기 비전 제시
2026-01-08
- [스카이 View] 도시숲의 가치
2025-09-23
- “서해의 55 영웅들, 3개의 빛 기둥 되어 서울 하늘 빛 내”
2025-03-27
- 오세훈 “결단 시점 올 것”… 차기 대권 도전 시사
2024-12-26
[관련 기사]
- BBQ, 스페인에 헤드쿼터 설립… 유럽시장 공략 강화
2025-12-08
- 2025년 경력직 공채… BBQ, 해외 시장 겨냥 인재 확보
2025-09-08
- BBQ, 콜롬비아 진출… 아메리카 전역 K-푸드 벨트 구축
2025-08-26
- 윤홍근 BBQ 회장, 김상옥의사기념사업회 13대 회장 취임
2025-03-06
[관련 기사]
- SPC 논란 속 3세 승진… 재계 전반으로 번진 ‘세대 교체 흐름’
2025-11-27
- SPC, 파리크라상 물적분할 추진… 지주사 전환·승계 작업 암시
2025-11-25
- [SPC의 두 얼굴] ① 쿠폰 수수료 말만 분담… 파리바게뜨, 실제 부담은?
2024-08-08
- 허영인 회장, Again 포켓몬 빵 돌풍… 맛과 행복 위해 Only 빵빵빵
2022-03-22
- 마약·배임 품고 300억 재력 나누고 ‘허영인의 가족사랑’
2019-07-24
- 쉑쉑버거 SPC 허희수, 집행유예 실형 면해
2018-09-21
[관련 기사]
- 2PM 우영, 5·6월 日 4곳 대도시 단독공연 노래·춤 팡팡
2023-05-18
- ‘대세 배우’된 2PM 준호, 이번엔 로코킹 도전
2022-08-04
- ‘군백기’마친 준호… 2PM 완전체 컴백과 배우 복귀에도 재시동
2021-04-06
[관련 기사]
- 최태원 이혼 소송 파기환송… 노태우 비자금 인정 안 했다
2025-10-16
- 최태원 회장 “차별화된 AI 경쟁력 만들어야”
2025-08-21
- SK그룹 “경영의 본질로 돌아가 신뢰 회복”
2025-06-15
- 최태원 “곧 다가올 AI 대확장 기회”
2024-11-03
주요 제3자에 대해서는 관리 수준을 한층 높였다. 반기마다 IT 리스크를 평가하고 비상 대응 및 재해복구 훈련 대상에 포함하는 한편, 백업 관리 적정성을 매년 점검하고 대체 가능한 서비스 수단도 미리 확보하도록 했다. 계약 이행 모니터링과 출구전략 수립, 계약 종료 후 조치 결과는 이사회 등에 사후 보고해야 한다.
금융당국은 이번 가이드라인이 법적 의무가 아닌 최소한의 관리 기준과 원칙을 제시하는 소프트룰(Soft Rule) 성격인 만큼 금융회사들은 위탁 업무의 중요도와 위험성에 따라 관리 수준을 자율적으로 강화하거나 일부 완화해 적용할 수 있다고 설명했다.
금융감독원은 이번 가이드라인이 최근 금융권의 클라우드 이용 확대와 함께 전산 장애, 해킹, 개인정보 유출 등 디지털 리스크에 대한 경각심이 커지는 상황을 반영한 조치라고 설명했다. 또한 참고 사례로 유럽연합(EU)의 디지털운영복원력법(DORA)과 유사한 제3자 IT 리스크 관리 원칙을 소개하며 글로벌 규제 수준에 맞춘 관리체계 구축도 추진할 방침이라고 밝혔다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
