금융감독원은 금융사의 클라우드·서비스형 소프트웨어(SaaS) 등 외부 IT서비스 이용 확대에 따른 리스크를 체계적으로 관리하기 위해 '금융회사의 제3자 IT리스크 관리 가이드라인'을 마련했다고 29일 밝혔다.
가이드라인은 이사회와 경영진의 역할과 책임을 명확히 했다. 이사회가 제3자 IT리스크 관리의 최종 책임을 지도록 명시하고, 위험관리 정책과 감독 관련 주요 사항을 심의·의결 사항으로 규정했다. 또한 경영진을 제3자 IT리스크 관리체계를 구축·시행·유지하는 주체로 정하고, 총괄관리부서를 지정·운영하도록 했다. 총괄관리부서는 실효성 높은 안전성 확보 조치를 수립·실행하는 한편, 각 사업부서의 정보처리업무 위탁 현황을 총괄하고, 제3자 IT리스크 현황과 위탁계약의 적정성 등을 평가하는 책무를 맡는다.
이를 바탕으로 금융회사는 총괄관리부서·리스크관리부서·내부감사부서로 구성되는 '3단계 통제체계'를 구축·운영해 제3자 IT리스크를 체계적으로 관리하도록 했다.
제3자 IT리스크의 식별·평가·관리 체계도 구체화했다. 금융사는 위탁계약 상대방인 제3자의 재무건전성과 제공 서비스, 처리정보의 종류·건수, 암호화 및 통신 방식, 사고 대응체계, 전산설비 등 업무 관련 주요 정보를 식별하고, 반기에 1회 이상 주기적으로 점검해 관련 정보를 최신 상태로 유지해야 한다. 특히 금융사 업무나 금융소비자에게 중대한 영향을 미치는 '주요 제3자'는 별도로 지정해 보다 강화된 리스크 관리가 적용된다.
또 제3자별로 IT리스크를 실효성 있게 평가할 수 있도록 평가항목과 체크리스트를 구체적으로 제시했다. 식별된 위험에 대해서는 보완조치를 수행하되, 통제·경감·이전이 불가능한 경우에는 계약을 중단하거나 이사회가 계약 유지 여부를 결정하도록 했다.
계약 단계별 리스크 관리 절차도 체계화했다. 계약 검토·체결 단계부터 유지·관리, 종료에 이르는 정보처리업무 위탁 전 과정에서 발생 가능한 제3자 IT리스크를 선제적으로 식별하고 대응할 수 있도록 단계별 관리 절차를 마련했다.
계약 체결 전에는 현장실사 등을 통해 서비스 역량과 정보보호 관리체계 등을 검증하고, 위·수탁사 간 역할 분담과 사고 발생 시 책임 관계 등 필수 사항을 계약서에 반영하도록 했다. 계약 기간 중에는 계약 이행 현황을 연 1회 이상 정기적으로 점검하고, 시스템 중단 등에 대비한 비상대책과 업무연속성 유지를 위한 백업관리체계, 계약 종료에 대비한 출구전략 등을 마련해야 한다. 계약 종료 후에는 정보자산 반납, 접근권한 말소, 정보의 완전한 파기 등을 수행하도록 했다.
금감원과 업권별 협회 등은 이번에 마련한 '제3자 IT리스크 관리 가이드라인'이 실효성 있게 운영될 수 있도록 적극 지원할 계획이다. 업권별 협회 등은 해당 가이드라인을 토대로 모범규준을 제정해 올해 11월 이후 시행할 예정이다.