금융사 외주 IT 사고, 이사회가 최종 책임 진다

금융감독원이 외부 IT 서비스 이용에 따른 사이버 보안 사고 책임 소재를 명확히 하는 가이드라인을 마련했다. 클라우드·SaaS 등 외주업체에서 해킹이나 정보 유출이 발생해도 금융회사 이사회가 최종 책임을 지도록 규정했다.

금융회사는 외부 IT 업체의 재무 건전성과 서비스 정보를 반기 1회 이상 점검하고, 주요 제3자는 별도 지정해 강화된 관리 조치를 적용해야 한다. 계약 전 현장 실사, 계약 중 연 1회 이상 점검, 계약 종료 시 정보 자산 반환 및 접근 권한 말소 확인이 의무화됐다.

업권별 협회가 모범규준을 제정해 11월부터 시행할 예정이다. 금감원은 이행 실태를 점검하고 미비점을 지속 보완하겠다고 밝혔다.