)
최근 금융권이 클라우드와 SaaS 등 외부 IT서비스 의존도를 높이는 가운데 금융당국이 ‘외주 IT 리스크 관리’ 기준을 처음으로 마련했다. 앞으로는 외부 IT업체에서 장애나 해킹 사고가 발생해도 금융회사 이사회와 경영진이 최종 책임을 지고, 계약 전 실사부터 계약 종료 후 데이터 완전 삭제까지 전 과정을 관리하도록 했다.
금융감독원은 “은행연합회·금융투자협회·생명보험협회·손해보험협회·여신금융협회·저축은행중앙회·한국핀테크산업협회 등과 함께 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 마련했다”고 29일 밝혔다. 디지털 금융 확산으로 정보처리 업무를 외부 업체에 맡기는 사례가 늘어나는 가운데 위탁 과정에서 발생할 수 있는 정보보호와 사이버 보안 위험을 체계적으로 관리하기 위한 조치다. 업권별 협회는 이를 바탕으로 모범규준을 제정해 오는 11월 이후부터 순차적으로 시행할 예정이다.
가이드라인의 핵심은 제3자 IT 리스크에 대한 책임 주체를 명확히 했다는 점이다. 금융회사의 이사회는 제3자 IT 리스크 관리의 최종 책임을 지며 관련 정책과 감독 사항을 심의·의결해야 한다. 경영진은 관리체계를 구축·운영하는 역할을 맡고, 총괄관리부서를 지정해 정보처리 업무 위탁 현황과 위험 수준, 계약 적정성 등을 상시 관리하도록 했다. 이를 통해 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 통제체계를 구축하도록 했다.
금융회사는 앞으로 위탁업체의 재무건전성과 제공 서비스, 처리 정보의 종류와 규모, 암호화 방식, 사고 대응 체계, 전산설비 등을 사전에 식별하고 반기마다 점검해 정보를 최신 상태로 유지해야 한다. 특히 금융회사 업무나 금융소비자에게 중대한 영향을 미치는 업체는 ‘주요 제3자’로 별도 지정해 강화된 관리체계를 적용한다. 위험을 통제하거나 이전하기 어려운 경우에는 계약을 중단하거나 이사회가 계약 유지 여부를 결정하도록 했다.
계약 단계별 관리 절차도 대폭 강화된다. 계약을 체결하기 전에는 현장 실사를 통해 서비스 역량과 정보보호 관리체계를 검증하고, 위·수탁사 간 역할과 사고 발생 시 책임 범위를 계약서에 명확히 반영해야 한다. 계약 기간에는 연 1회 이상 이행 상황을 점검하고 비상 대응 체계와 백업 관리, 업무연속성 확보 방안, 계약 종료를 대비한 출구전략을 마련해야 한다. 계약이 종료된 이후에는 정보자산을 반납하고 접근 권한을 삭제하는 것은 물론 모든 정보를 완전히 파기하도록 했다.
[관련 기사]
- 두산, 엔비디아와 손잡고 피지컬 AI 공략
2026-06-08
- 박정원 두산그룹 회장 “유럽은 제2의 홈 마켓”
2025-04-13
- 박정원 두산 회장 “현재 단단히 하며 미래 준비”
2025-01-01
- 최태원·정의선 등 국내 주요 CEO, CES 2024에 뜬다
2023-12-27
- [우리동네 명사들] ‘엔진 대부’ 이현순 중앙대 이사장으로 새 도전
2023-11-21
[관련 기사]
- 오익근 대신증권 대표 3연임 성공… 2년 더 이끈다
2024-03-21
- 회장보다 연봉 2배 높은 과장…다올투증 윤태호 과장 42억 원 수령
2024-03-17
- 이어룡 ‘국내 10번째’ 종합금융투자사에 도전장
2023-09-25
- 금감원 ‘디스커버리 펀드’ 9월 전면 재검사 착수
2023-08-27
- 젊어지는 재계… 1970년대생 ‘회장·부회장’ 60명 넘어
2023-08-23
[관련 기사]
- 금융권 ‘아름다운 나눔’ 성금 16억 원 구세군에 전달
2025-12-29
- 케이뱅크, 소상공인 보증부대출 출시
2025-11-20
- KB국민은행, 중기진흥공단과 중소기업 재직자 지원 협약 체결
2025-11-17
- NH농협은행‘조직개편’발표 내부 반발 확산… IT·본점 조직 흔들
2025-11-17
- “인적 쇄신” 농협… 혁신 TF팀장 ‘낙하산·기소’ 논란 불 붙었다
2025-11-16
- [우리동네 명사들] ‘디지털 전문가’ 강태영… 디지털 리딩뱅크 도약 박차
2025-07-27
[관련 기사]
- ‘Mr 에너지’ 이만득, 친환경 도시가스 첨병 “나를 따르라”
2022-12-20
- 유상덕 ST인터내셔널 회장, 기업경영+미술문화 발전 ‘온 힘’
2022-07-06
- 삼천리 도시가스 전문기업으로 성장시킨 이만득… 외식사업에 본격 시동
2021-08-05
- 연탄재벌 유상덕, 40억 호화빌라 2채 전부 현금매입
2018-01-25
- 삼천리, 가스기업다운 ‘에너지 상생’ 실천
2018-01-24
- 삼천리, 지역사회 상생 ‘사랑받는 기업’ 거듭
2016-09-28
[관련 기사]
- 국세청 오뚜기 정조준… 자금유용 의혹 조사
2025-10-16
- 오뚜기, 세계 식탁으로 뻗어가는 K-푸드 대표주자
2025-09-09
- 식품家 연봉 1위 롯데 신동빈… 김정수 삼양 부회장은 18% 줄어
2025-03-26
- 해외 진출이 해답… 식품업계, 해외시장 확장 박차
2025-03-17
- 대기업 대표 자사주 매입 늘어… 고려아연 최윤범 1위
2024-10-23
- 진격의 K라면 수출 ‘쑥쑥’… 올 10억 달러 달성 낙관
2024-07-24
주요 제3자에 대해서는 관리 수준을 한층 높였다. 반기마다 IT 리스크를 평가하고 비상 대응 및 재해복구 훈련 대상에 포함하는 한편, 백업 관리 적정성을 매년 점검하고 대체 가능한 서비스 수단도 미리 확보하도록 했다. 계약 이행 모니터링과 출구전략 수립, 계약 종료 후 조치 결과는 이사회 등에 사후 보고해야 한다.
금융당국은 이번 가이드라인이 법적 의무가 아닌 최소한의 관리 기준과 원칙을 제시하는 소프트룰(Soft Rule) 성격인 만큼 금융회사들은 위탁 업무의 중요도와 위험성에 따라 관리 수준을 자율적으로 강화하거나 일부 완화해 적용할 수 있다고 설명했다.
금융감독원은 이번 가이드라인이 최근 금융권의 클라우드 이용 확대와 함께 전산 장애, 해킹, 개인정보 유출 등 디지털 리스크에 대한 경각심이 커지는 상황을 반영한 조치라고 설명했다. 또한 참고 사례로 유럽연합(EU)의 디지털운영복원력법(DORA)과 유사한 제3자 IT 리스크 관리 원칙을 소개하며 글로벌 규제 수준에 맞춘 관리체계 구축도 추진할 방침이라고 밝혔다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
