금융사 외부 IT 위탁 리스크, 이사회가 최종 책임진다

모범규준 만들어 11월 이후 시행 예정

금융회사가 클라우드와 서비스형 소프트웨어(SaaS) 등 외부 IT 서비스를 이용할 때 발생할 수 있는 위험에 대해 이사회가 최종 책임을 지게 된다. 중요 IT 서비스를 제공하는 외부 업체는 별도로 지정해 반기마다 위험 수준을 점검해야 한다.

금융감독원은 은행연합회·금융투자협회·생명보험협회 등 업권별 협회·중앙회와 함께 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 마련했다고 29일 밝혔다. 업권별 모범규준 제정 등을 거쳐 11월 이후 시행할 계획이다.

제3자 IT 리스크는 금융회사가 정보처리 업무를 외부 업체에 맡기는 과정에서 발생할 수 있는 시스템 장애와 해킹, 정보 유출 등의 위험을 말한다. 금융권의 디지털 전환으로 클라우드와 SaaS 이용이 늘었지만 기존 업무위탁 관련 자율규제에는 사이버 보안과 정보보호 등 IT 업무의 특성이 충분히 반영되지 않았다는 게 금감원의 판단이다.

가이드라인은 제3자 IT 리스크 관리의 최종 책임을 이사회에 부여했다. 이사회는 관련 관리정책과 감독에 관한 주요 사항을 심의·의결하고, 경영진은 위험 관리체계를 구축·운영해야 한다.

경영진은 총괄관리부서를 지정해 외부 위탁 현황과 계약의 적정성, 제3자 IT 리스크를 관리해야 한다. 금융회사는 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 내부통제 체계를 구축한다. 해킹과 개인정보 유출에 대비한 보안대책, 시스템 장애에 대응하기 위한 비상대책, 중요자료 백업체계 등도 마련해야 한다.

외부 업체에 대한 위험 평가도 강화된다. 금융회사는 위탁업체의 재무건전성과 제공 서비스, 처리정보의 종류·건수, 암호화와 통신 방식, 사고 대응체계, 전산설비 등의 정보를 파악하고 반기 1회 이상 최신 상태로 관리해야 한다.

금융회사 업무나 금융소비자에게 중대한 영향을 미치는 업체는 ‘주요 제3자’로 별도 지정해 강화된 관리를 적용한다. 평가 과정에서 발견된 위험을 통제하거나 줄일 수 없으면 계약을 중단하거나 이사회가 계약 유지 여부를 결정하게 된다.

계약 체결 전부터 종료 이후까지 단계별 관리절차도 마련된다. 계약 전에는 현장실사 등을 통해 업체의 서비스 역량과 정보보호 관리체계를 검증하고, 사고 발생 시 책임 관계와 위·수탁회사 간 역할 분담을 계약서에 반영해야 한다.

계약 기간에는 이행 현황을 연 1회 이상 점검하고 시스템 중단에 대비한 비상대책과 백업관리 체계, 계약 종료에 대비한 출구전략을 마련한다. 계약이 끝나면 정보자산을 돌려받고 접근권한을 없애는 한편 관련 정보를 완전히 파기해야 한다.

주요 제3자에 대해서는 반기 1회 이상 IT 리스크를 평가하고 비상대응·재해복구 훈련에 포함해야 한다. 백업관리의 적정성은 연 1회 이상 점검하며, 기존 업체를 대체할 수단도 미리 검토하도록 했다.

이번 가이드라인은 법적 의무가 아닌 자율규제 성격의 최소 기준과 원칙으로 마련됐다. 금융회사는 위탁한 정보처리 업무의 중요도와 위험 수준에 따라 세부 내용을 강화하거나 완화해 적용할 수 있다.

업권별 협회와 중앙회는 가이드라인을 토대로 모범규준을 제정해 11월 이후 시행할 예정이다. 금융회사 내규 반영과 조직·인력 개편 등에 필요한 준비 기간에 따라 실제 적용 시기는 일부 조정될 수 있다. 금감원은 시행 이후 금융회사의 이행 실태를 점검하고 가이드라인을 보완할 방침이다.