0:00Your browser does not support theaudio element.구글 선호 매체 등록여의도 금융감독원 본원의 표시석. 안태호 기자 eco@hani.co.kr 광고최근 외주 개발업체 직원의 과실로 우리은행 고객 개인정보 1만7천여건이 유출됐다. 플랫폼 구축 사업이 끝난 뒤에도 외주업체가 개인정보를 보관하다 외부에 노출된 사고다. 금융회사가 자체 보안만 강화하는 데 그치지 않고 업무를 맡긴 외주업체의 정보 관리 체계까지 살펴야 소비자 피해를 막을 수 있는 것이다. 금융감독원은 이런 위험을 체계적으로 관리하기 위한 ‘금융회사의 제3자 정보기술(IT) 리스크 관리 가이드라인’을 마련했다고 29일 밝혔다. 금융업권별 협회 등이 이를 토대로 모범규준을 제정해 오는 11월 이후 시행할 계획이다. 이번 가이드라인은 금융의 디지털 전환으로 클라우드·서비스형 소프트웨어(SaaS) 등 외부 서비스를 이용하거나 정보기술(IT) 업무를 제3자에게 위탁하는 일이 보편화하면서 발생할 수 있는 위험을 줄이기 위해 마련됐다. 외부 서비스 장애나 외주업체에서 해킹·개인정보 유출 사고가 발생하면 금융회사뿐 아니라 금융소비자 피해로 이어질 수 있기 때문이다. 광고 가이드라인은 이사회가 ‘제3자 정보기술 리스크 관리’의 최종 책임을 지도록 명시했다. 위험 관리 정책과 감독 관련 주요 사항도 이사회 심의·의결 사항으로 규정했다. 경영진은 관리 체계를 구축·시행·유지해야 하고, 총괄관리부서도 지정해 각 사업부서의 정보처리 업무 위탁 현황을 관리해야 한다. 외주업체별 위험 평가 기준도 구체화했다. 금융회사는 외주업체의 재무건전성, 제공 서비스, 처리 정보의 종류·건수, 암호화·통신 방식, 사고 대응 체계, 전산설비 등을 파악하고, 반기마다 한 차례 이상 정보를 최신화해야 한다. 금융사 업무나 소비자에게 중대한 영향을 미치는 ‘주요 제3자’에는 더 강화된 관리 기준을 적용하기로 했다. 광고광고 계약 전·중·후 단계별 관리 절차도 제시했다. 계약 전에는 현장 실사 등으로 외주사의 서비스 역량과 정보보호 관리 체계를 검증하고, 책임 관계 등을 계약서에 반영해야 한다. 계약 기간에는 연 1회 이상 이행 현황을 점검하고 비상대책·백업 관리 체계 등을 마련해야 한다. 계약이 끝난 뒤에는 정보자산을 돌려받고 접근권한을 없앤 뒤 정보를 완전히 파기하도록 했다. 금감원은 “금융 업권별 협회 등과 함께 가이드라인 이행 실태를 점검·평가하고, 미비점을 개선·보완하는 등 지속해서 가이드라인을 고도화하겠다”고 밝혔다. 안태호 기자 eco@hani.co.kr