클라우드 맡겨도 책임은 금융사…외부 IT업체 관리 강화

이사회 최종 책임 명시…오는 11월 이후 시행

서울 여의도에 위치한 금융감독원 전경. [사진=유대길 기자 [e-mail]]

금융회사가 클라우드나 외부 전산업체에 업무를 맡기더라도 해킹과 정보 유출, 전산 장애 등에 대한 관리 책임을 직접 지도록 하는 기준이 마련됐다.

금융감독원은 금융권 협회·중앙회와 함께 ‘금융회사의 제3자 IT 리스크 관리 가이드라인’을 마련했다고 29일 밝혔다. 금융회사에서 클라우드와 서비스형 소프트웨어(SaaS) 등 외부 IT 서비스 이용이 늘면서, 수탁업체에서 사고가 발생할 경우 금융소비자까지 피해를 볼 수 있다는 우려를 반영했다.

가이드라인은 외부 업체에 업무를 맡겼더라도 위험 관리의 최종 책임은 금융회사 이사회가 지도록 했다. 경영진은 관련 관리체계를 구축하고 총괄관리부서를 지정해 위탁 현황과 계약의 적정성 등을 점검해야 한다. 총괄관리부서와 리스크관리부서, 내부감사부서로 이어지는 3단계 통제체계도 운영한다.

금융회사는 외부 업체의 재무 상태와 제공 서비스, 처리 정보의 종류, 암호화 방식, 사고 대응체계 등을 파악하고 반기마다 한 차례 이상 정보를 갱신해야 한다. 업무나 금융소비자에게 중대한 영향을 미치는 업체는 ‘주요 제3자’로 별도 지정해 반기마다 위험평가를 실시한다.

계약 전에는 현장 실사 등을 통해 업체의 서비스 역량과 정보보호 체계를 확인하고, 사고 발생 시 책임 관계를 계약서에 명확히 담아야 한다. 계약 기간에는 시스템 중단에 대비한 비상계획과 백업체계, 계약 종료에 대비한 대체업체 전환계획을 마련한다. 계약이 끝난 뒤에는 접근권한을 없애고 보유 정보도 완전히 파기해야 한다.

업권별 협회는 이번 가이드라인을 바탕으로 모범규준을 마련해 오는 11월 이후 시행할 계획이다. 다만 금융회사 내규 개정과 조직·인력 정비 등에 따라 실제 적용 시기는 일부 달라질 수 있다.