대형 금융사 위주로 실시하던 IT 리스크 상시 평가가 모든 금융사와 전자금융업자로 확대된다. 네이버파이낸셜, 카카오모빌리티, 토스페이먼츠, 인터파크, 롯데쇼핑, 야놀자 등 IT 리스크에 대한 검사 범위가 전 업종으로 확대되는 셈이다. 금융당국은 또 자산 2조원 이상 금융사에 대해서는 IT 리스크 계량평가를 실시한다. 검사 결과 취약업체에 대해서는 자체 감사 요구제도를 도입한다.
금융감독원은 10일 '2022년도 IT 리스크 상시 감시 및 검사 업무 운영 방향'에서 전자금융업무를 수행하는 모든 금융사와 전자금융업자에 대해 'IT 리스크 계량 평가'를 실시한다고 밝혔다.
자산 규모가 2조원 이상이거나 IT 의존도가 높은 금융사에 대해서는 'IT 리스크 계량 평가'를 하고, 중소형 금융사와 전자금융사업자에 대해서는 계량 평가 항목을 간소화한 간이평가를 실시한다.
IT 리스크 상시 평가 대상 확대로 177개(3월17일 기준) 전자금융업자 전체가 IT 리스크 검사 대상으로 편입된다. 메리츠종합금융증권, 신한금융투자 등 기존 금융사보다는 네이버파이낸셜, 카카오모빌리티, 토스페이먼츠, 인터파크 등 IT 인프라 안전성에 대한 관심이 높은 전자금융업체가 주요 대상이 될 것으로 전망된다.
금감원은 IT감사, IT경영, 시스템 개발과 유지보수, IT 서비스 제공·지원, IT 보안 등의 부문에서 업권별 특성을 반영해 계량평가 지표를 추가하기로 했다. 간이평가 지표는 IT 인프라 안전성 확보에 필수적인 항목을 선정해 평가할 예정이다.
또 금융당국은 인프라 운영과 정보보호 등에 대한 상시 평가 과정에서 취약점이 확인되는 경우 자체 감사를 요구하는 '자체 감사 요구제도'를 도입해 시범적으로 실시할 계획이다.
이는 IT 리스크 상시평가 등급이 일정 기준 이하인 경우 해당 금융사가 자체 감사를 통해 취약점을 자율 시정하도록 하는 방안이다. 금융사의 자체 감사 결과가 부적정한 것으로 평가될 경우 금감원이 직접 검사를 나서게 된다.
금융업권에 대한 IT 부문 정기검사는 2~5년 주기로 실시한다.
정기 검사는 IT 업무 전반에 대한 실태 평가와 상시 평가 결과에서 확인된 취약점에 대해 중점적으로 들여다볼 계획이다. 정기검사 주기는 지주계열 시중은행에 대해 2.5년, 대형 저축은행 2년, 종합금융투자사업자 3년, 인터넷전문은행·지방은행 3.5~4.5년, 대형 생·손보사 3~4년, 중형 생·손보사 5년, 대형 증권사와 카드사·대형 캐피탈사 5년 등이다.
망 분리 규제 준수, 보안대책 소홀에 따른 침해사고 발생, 인터넷뱅킹과 모바일 앱 등 대고객 서비스 관련 시스템의 장애 사고 등에 대해서는 테마검사를 강화한다는 방침이다.
IT리스크 상시평가 결과, IT 부문의 내부통제가 취약해 사고 개연성이 높은 금융회사나 대형 전자금융업자에 대해서는 내부통제 점검을 위한 현장검사를 실시할 예정이다.
금감원은 "전자적 침해사고와 장애사고로 인한 소비자 피해를 예방할 수 있도록 금융부문의 IT 리스크에 대한 사전예방적 감독과 검사를 강화할 계획"이라면서 "금융부문의 핵심 업무에 대한 IT 리스크 수준의 조기 판별이 가능한 상시평가 모형을 개발하겠다"고 밝혔다.김현동기자 citizenk@dt.co.kr
금융감독원은 10일 '2022년도 IT 리스크 상시 감시 및 검사 업무 운영 방향'에서 전자금융업무를 수행하는 모든 금융사와 전자금융업자에 대해 'IT 리스크 계량 평가'를 실시한다고 밝혔다.
자산 규모가 2조원 이상이거나 IT 의존도가 높은 금융사에 대해서는 'IT 리스크 계량 평가'를 하고, 중소형 금융사와 전자금융사업자에 대해서는 계량 평가 항목을 간소화한 간이평가를 실시한다.
IT 리스크 상시 평가 대상 확대로 177개(3월17일 기준) 전자금융업자 전체가 IT 리스크 검사 대상으로 편입된다. 메리츠종합금융증권, 신한금융투자 등 기존 금융사보다는 네이버파이낸셜, 카카오모빌리티, 토스페이먼츠, 인터파크 등 IT 인프라 안전성에 대한 관심이 높은 전자금융업체가 주요 대상이 될 것으로 전망된다.
금감원은 IT감사, IT경영, 시스템 개발과 유지보수, IT 서비스 제공·지원, IT 보안 등의 부문에서 업권별 특성을 반영해 계량평가 지표를 추가하기로 했다. 간이평가 지표는 IT 인프라 안전성 확보에 필수적인 항목을 선정해 평가할 예정이다.
또 금융당국은 인프라 운영과 정보보호 등에 대한 상시 평가 과정에서 취약점이 확인되는 경우 자체 감사를 요구하는 '자체 감사 요구제도'를 도입해 시범적으로 실시할 계획이다.
이는 IT 리스크 상시평가 등급이 일정 기준 이하인 경우 해당 금융사가 자체 감사를 통해 취약점을 자율 시정하도록 하는 방안이다. 금융사의 자체 감사 결과가 부적정한 것으로 평가될 경우 금감원이 직접 검사를 나서게 된다.
금융업권에 대한 IT 부문 정기검사는 2~5년 주기로 실시한다.
정기 검사는 IT 업무 전반에 대한 실태 평가와 상시 평가 결과에서 확인된 취약점에 대해 중점적으로 들여다볼 계획이다. 정기검사 주기는 지주계열 시중은행에 대해 2.5년, 대형 저축은행 2년, 종합금융투자사업자 3년, 인터넷전문은행·지방은행 3.5~4.5년, 대형 생·손보사 3~4년, 중형 생·손보사 5년, 대형 증권사와 카드사·대형 캐피탈사 5년 등이다.
망 분리 규제 준수, 보안대책 소홀에 따른 침해사고 발생, 인터넷뱅킹과 모바일 앱 등 대고객 서비스 관련 시스템의 장애 사고 등에 대해서는 테마검사를 강화한다는 방침이다.
IT리스크 상시평가 결과, IT 부문의 내부통제가 취약해 사고 개연성이 높은 금융회사나 대형 전자금융업자에 대해서는 내부통제 점검을 위한 현장검사를 실시할 예정이다.
금감원은 "전자적 침해사고와 장애사고로 인한 소비자 피해를 예방할 수 있도록 금융부문의 IT 리스크에 대한 사전예방적 감독과 검사를 강화할 계획"이라면서 "금융부문의 핵심 업무에 대한 IT 리스크 수준의 조기 판별이 가능한 상시평가 모형을 개발하겠다"고 밝혔다.김현동기자 citizenk@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
