11월부터 금융회사 외부 IT 위탁 사고 이사회가 최종 책임

[아이뉴스24 임우섭 기자] 금융회사가 오는 11월부터 IT 업무를 외부 업체에 맡기면서 발생할 수 있는 해킹과 정보 유출, 전산 장애 위험을 이사회가 최종 책임을 져야 한다.

29일 금융감독원은 은행연합회와 금융투자협회, 생명·손해보험협회 등 7개 업권별 협회·중앙회와 '금융회사의 제3자 IT 리스크 관리 가이드라인'을 마련했다.

이사회는 외부 IT 위탁 위험관리 정책과 감독 관련 주요 사항을 심의·의결한다.

경영진은 관리 체계를 구축·운영하고 실무를 맡을 총괄 관리부서를 지정해야 한다. 총괄관리부서는 해킹과 개인정보 유출·오남용 방지 대책을 마련한다. 외부 업체와 연결된 통신 구간의 보안을 관리하고 시스템 장애에 대비한 비상 대책과 중요 자료 백업 체계도 갖춰야 한다.

금융회사는 총괄관리부서와 리스크관리부서, 내부감사 부서로 구성한 3단계 통제 체계를 운영한다. 외부 IT 위탁 현황과 계약의 적정성, 위험관리 체계가 제대로 작동하는지를 점검한다.

외부 업체의 재무건전성과 제공 서비스, 처리 정보, 암호화·통신 방식, 사고 대응체계 등은 반기마다 한 차례 이상 확인한다.

업무나 금융소비자에게 중대한 영향을 미칠 수 있는 업체는 '주요 제3자'로 별도 지정한다. 이들 업체는 반기마다 IT 위험을 평가하고, 비상·재해복구 훈련에도 참여해야 한다. 백업 관리와 대체 수단도 연 1회 이상 정기적으로 점검한다.

확인된 위험을 줄이거나 다른 곳으로 이전하기 어렵다면 계약을 중단해야 한다. 계약을 유지할지는 이사회가 결정한다.

금감원은 "금융회사 내규 반영과 조직·인력 개편 상황에 따라 실제 적용 시기는 일부 조정될 수 있다"며 "가이드라인 이행 실태를 점검·평가해 미비점을 보완하겠다"고 말했다.