[자본시장법] 제3자 IT리스크관리 가이드라인

 

최근 GRC 역량 및 직무를 요구하는 채용회사가 늘어나고 있다.

그래서 현대의 트랜드에 맞춰 오늘 작성할 내용은 제3자 IT리스크관리 가이드라인에 대해 작성해보고자 한다.

GRC(Governance, Risk, and Compliance)는 기업이나 조직이 경영 목표를 달성하고, 다양한 위험을 관리하며, 관련 법규와 규정을 준수하기 위해 구축하는 통합 프레임워크

---

 

제1장 총 칙

 

제1조(목적)

본 가이드라인은 「금융회사의 정보처리 업무 위탁에 관한 규정」 및 「자본시장과 금융투자업에 관한 법률」 제42조에 따른 업무 위탁과 관련하여 금융회사가 정보처리 업무위탁에 따른 제3자의 정보기술(이하 ‘IT'라고 함) 리스크를 관리하기 위하여 준수하여야 하는 최소 사항을 제시하는 것을 목적으로 한다.

 

제2조(용어의 정의)

이 가이드라인에서 사용하는 용어의 정의는 다음과 같다.

1. "금융회사"란「금융회사의 정보처리 업무 위탁에 관한 규정」제2조에 따른 금융회사 및 저축은행중앙회를 말한다.

2. "정보처리"란 금융회사가 전산설비를 활용하여, 정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 기타 이와 유사한 행위를 수행하는 것을 말한다.

3. "정보처리 업무위탁"이란 금융회사가 자신의 정보처리 업무를 제3자로 하여금 계속적으로 처리하도록 하는 행위를 말한다.

4. "제3자"란 금융회사와의 정보처리 업무위탁 계약에 따라 정보처리 서비스 또는 기능을 제공하는 자를 말한다.

5. "제3자 IT리스크"란 금융회사가 정보처리 업무를 제3자에 위탁함에 따라 발생 가능한 직접적 손실, 평판 손상, 법적 청구, 시스템 장애 및 기술의 오용, 침해사고 등의 잠재적·실제적 위험을 통칭한다.

6. "주요 제3자"란 제9조 제1항에 따라 금융회사가 지정한 제3자를 말한다.

7. "경영진"이란 그 명칭과 상관없이 금융회사의 제3자 IT리스크관리에 관하여 중요한 의사결정을 수행하거나 제3자 IT리스크 관리에 중요한 영향을 미치는 업무를 수행하는 자를 말한다.

 

제3조(적용범위)

① 본 가이드라인은 제3자와 정보처리 업무위탁 계약을 체결하는 모든 금융회사를 대상으로 한다.

② 금융회사는 정보처리 업무위탁 외에 기타 제3자와의 제휴, 연계 등에 따른 IT 리스크 대해서도 동 가이드라인을 적용할 수 있다.

 

제4조(기본원칙)

① 금융회사는 정보처리 업무를 제3자에 위탁하는 경우 제3자에 대한 IT 리스크 관리체계를 구축, 시행 및 유지하여야 한다. 이때 금융회사의 규모, 복잡성 및 위탁계약의 특성 등을 감안하여야 한다.

② 금융회사는 금융회사가 판단한 정보처리 위탁 업무의 중요도 및 위험도에 따라 동 가이드라인의 내용을 강화하거나 완화하여 차등적으로 운영할 수 있다. 다만, 이 경우 제5조 제2항의 제3자 IT리스크 관리정책에 그 기준을 반영하여야 한다.

---

제2장 제3자 IT리스크 관리체계

 

제5조(이사회의 역할과 책임)

① 이사회는 정보처리 업무위탁에 따른 제3자 IT리스크 관리에 대한 최종책임을 진다. 다만, 효과적인 관리, 감독을 위해 리스크관리위원회(경영진이 참여하는 금융회사 내부 위원회를 포함한다.) 또는 경영진에 일부 권한을 위임할 수 있다.

② 이사회는 정보처리 업무위탁에 따른 IT리스크 편중(금융회사의 제3자에 대한 전반적인 의존도, 종속성 포함)에 유의하여 제3자 IT리스크 관리정책의 수립 및 감독 관련 주요 사항을 심의·의결한다.

 

제6조(경영진의 역할과 책임)

① 경영진은 제3자 IT리스크 관리정책이 효과적으로 이행될 수 있도록 제3자 IT리스크 관리체계를 구축·시행·유지할 책임이 있다.

②  경영진은 조직의 정보처리 업무위탁 현황을 종합·관리하고, 이에 따른 제3자 IT리스크를 통할하는 총괄관리부서를 지정·운영하여야 한다.

③ 경영진은 제3자 IT리스크 관리체계가 효과적으로 작동할 수 있도록 다음 각 호의 정보처리 위탁에 따른 안전성 확보조치를 수립·운용하여야 한다.

 1. 접근매체 위·변조, 해킹, 개인정보유출·오남용 등에 대비한 보안대책

 2. 금융회사와 제3자 간의 전용회선 등 안전한 통신구간 보안대책

 3. 정보처리시스템 장애 등 서비스 중단에 대비한 비상대책

 4. 업무지속성 확보를 위한 중요자료 백업 및 백업설비 확보 등 백업대책

 5. 보안 취약점 최소화 등 보안유지를 위한 내부통제 체계

④ 경영진은 제3항에 따른 안전성 확보조치가 효과적으로 이행되고 있는지 정기적으로 점검하여야 한다.

 

제7조(관리체계)

① 금융회사는 제3자 IT리스크를 체계적으로 관리할 수 있도록 총괄관리부서, 리스크관리부서(준법감시 및 IT자체감사 조직 등을 포함) 및 내부감사부서로 구성되는 상호견제와 균형의 원칙에 입각한 3단계 내부통제 체계를 구축·운용하여야 한다.

② 총괄관리부서는 정보처리 위탁에 따른 안전성 확보조치 수립·운영 및 각 사업부서의 정보처리 업무위탁 현황을 총괄·관리하고, 제3자의 IT 리스크 및 계약내용의 적정성 등을 평가하여야 한다.

③ 리스크관리부서는 제10조 내지 제15조에 따른 제3자 IT리스크 관리가 효과적으로 작동하고 있는지 정기적으로 점검하고 필요한 보완조치를 하여야 한다.

④ 내부감사부서는 독립적인 입장에서 제3자에 대한 IT리스크 관리가 적정한지 주기적으로 감사를 실시하여야 한다.

 

제8조(제3자 식별 및 관리)

① 금융회사는 제3자 IT리스크에 효과적으로 대응하기 위하여 정보처리 업무위탁 계약을 체결한 제3자의 재무 건전성과 업무수행에 필요한 중요사항을 식별ㆍ관리하여야 한다.

② 금융회사는 제1항에 따른 제3자를 식별ㆍ관리하는 경우 다음 각 호의 사항을 포함하여야 한다.

 1. 회사명 및 사업자등록번호

 2. 제공하는 서비스명 및 기능

 3. 처리하는 정보의 종류 및 건수

 4. 고유식별정보 및 민감정보의 암호화 대상 및 방식

 5. 전용회선, 가상사설망 등 통신 방식

 6. 정보처리 시스템의 소재지 및 정보자산 현황(서버, 보안장비, 가상자원 등 포함)

 7. 클라우드 서비스 이용의 경우 클라우드 서비스 유형, 클라우드 서비스 제공자명 등 클라우드 이용과 관련한 정보

 8. 재위탁하는 회사명, 업무, 계약기간 및 재위탁하는 정보

 9. 위탁하는 업무의 중요도

 10. 재무적 건전성(합병·분할·영업양도 등 변동사항 포함)

 11. 위탁하는 업무의 목적

 12. 처리하는 정보의 보유 및 이용기간

 13. 사고대응 조직 및 연락체계

 14. 그 밖에 제3자 IT리스크 관리를 위해 금융회사가 필요하다고 정한 사항

③ 금융회사는 제2항 각 호에 따른 사항을 정기적(반기별 1회이상)으로 점검하고 최신상태로 유지하여야 한다.

④ 금융당국이 제2항에 따른 제3자 관리 현황에 대한 자료 제출을 요청하는 경우 금융회사는 불가피한 사유가 없는 한 지체없이 제출하여야 한다.

 

제9조(주요 제3자 지정)

① 금융회사는 제3자가 제공하는 서비스 및 기능 등의 실패, 지연 또는 중단으로 인하여 금융회사의 업무 및 금융소비자에게 중대한 영향을 미친다고 판단되는 제3자에 대해서는 주요 제3자로 지정하고 강화된 IT리스크 관리체계를 수립ㆍ운용하여야 한다.

② 제1항에 따라 주요 제3자를 지정할 때에는 다음 각 호의 사항을 고려하여야 한다.

 1. 위탁한 정보처리 업무가 중단 또는 실패시 금융회사의 핵심업무, 법적 또는 규제상 의무 이행, 재무 건전성에 미치는 영향

 2. 제3자가 금융회사의 고객정보 또는 민감정보를 대량으로 처리하여 침해사고 또는 정보유출 발생 시 미칠 수 있는 영향 및 피해

 3. 제3자에 위탁한 업무를 대체하거나 다른 제3자에 이전 가능 여부(대체 및 이전에 따른 소요 비용 포함)

 4. 금융회사의 중요도가 높은 업무를 특정 제3자에 다수 위탁하는 경우

 

0000_[별표] 제3자 IT 리스크 평가 체크리스트.hwp

0.08MB

 

출처 : 금융투자협회 법규정보시스템