외주 IT 기업서 해킹나도 금융사 책임

금융 > 금융정책 외주 IT 기업서 해킹나도 금융사 책임 챗GPT(DALL·E) 생성 이미지. 금융회사가 클라우드, 서비스형 소프트웨어(SaaS) 등 외부 IT 서비스를 활용하는 사례가 보편화됐지만, 외주회사에서 해킹이나 정보 유출이 발생했다고 하더라도 원청 금융회사 이사회가 이에 대한 최종 책임을 지게 된다. 29일 금융감독원은 이 같은 내용을 담은 ‘제3자 IT리스크 관리 가이드라인’을 은행연합회, 금융투자협회 등과 함께 마련했다고 밝혔다. 가이드라인은 클라우드나 SaaS 서비스에 장애가 생기거나 IT 서비스를 제공하는 수탁회사에서 해킹 등 침해사고나 정보 유출이 발생하면 금융회사뿐 아니라 금융소비자까지 큰 피해를 입을 수 있는 만큼 책임 소재를 분명히 하고 평소 리스크를 체계적으로 관리할 수 있도록 하는 데 중점을 뒀다.우선 이사회가 제3자 IT리스크 관리의 최종 책임을 지도록 명시하고, 위험 관리 정책과 감독 관련 주요사항을 심의·의결 사항으로 규정했다. 또 경영진을 제3자 IT리스크 관리 체계를 구축·시행·유지하는 주체로 정했다. 경영진은 ‘총괄관리부서’를 만들고, 해킹이나 개인정보 유출·오남용 등에 대비한 보안 대책을 만들고 위탁계약의 적정성 등을 평가하도록 책무를 부여해야 한다. 이사회에 제3자 IT리스크관리의 최종 책임이 있음을 명시하고 경영진의 책무를 구체화해 이사회와 경영진의 책임성을 강화하고 적극적인 관심과 참여를 유도하겠다는 취지다. 또 위탁계약의 상대방인 제3자의 재무건전성은 물론 사고 대응 체계, 처리 정보의 종류와 건수 등 업무 관련 주요 정보를 식별해 반기 1회 이상 점검·관리해야 한다. 계약 단계별 리스크 관리 절차도 체계화했다. 계약 전에는 현장실사 등을 통해 서비스 역량, 정보보호관리체계 등을 검증하고, 위·수탁사 간 역할분담과 사고 발생 시 책임 관계 등 필수 사항을 계약서에 반영해야 한다. 이후에도 계약 이행 현황을 연 1회 이상 점검하고, 계약 종료 후에는 정보가 완전히 파기될 수 있도록 관리해야 한다. 금감원 관계자는 “업권별 협회 등은 이번 가이드라인을 기초로 모범규준 제정 등을 거쳐 오는 11월 이후 시행할 계획”이라며 “금융감독원은 업권별 협회 등과 함께 가이드라인 이행 실태를 점검·평가하고, 미비점을 개선·보완하는 등 지속적으로 고도화할 예정”이라고 말했다. 다 읽었는데 무슨 말인지 모르겠다면? 지금 바로 쉬운 해설 클릭! 핵심요약 쏙AI 요약은 OpenAI...