금융감독원이 올해부터 전자금융업무를 수행하는 모든 금융회사 및 전자금융업자에 대해 IT리스크 계량평가를 실시한다. 또 2~5년 주기로 금융업권의 IT부문에 대한 정기검사도 운영한다.
금융감독원는 10일 이같은 내용을 골자로 한 ‘2022년도 IT리스크 상시감시 및 검사업무 운영방향‘을 발표했다.
이 방향에 따르면 금융감독원은 자산규모가 2조원 이상이거나 IT의존도가 높은 금융회사에 대해 IT리스크 계량평가를 실시한다. 중소형 금융회사 및 전자금융업자에 대해서는 계량평가 항목을 간소화한 간이평가를 진행한다.
금감원은 상시평가 등급이 일정기준에 미치지 못할 경우 해당 금융회사 및 전자금융업자의 자체감사 활동을 통해 취약점을 자율시정하도록 유도할 예정이다. 자체감사 활동을 지원하기 위해서 비대면 방식의 IT상시협의체가 운영될 전망이다.
제출된 자체감사 결과는 IT검사국 담당 검사팀에서 검토한다. 조치가 적정한 경우 원칙적으로 금융회사의 의견을 수용한다. 반면 조치가 부실하거나 허위 사실을 보고하는 등 부적정하다고 판단될 경우에는 금감원이 직접 검사를 실시한다.
IT관련 피해를 사전에 예방하기 위한 검사도 강화된다. 금감원은 금융회사의 특성, 규모, IT의존도 등을 감안해 2~5년 주기로 IT부문에 대한 정기검사를 실시할 예정이다. IT사고로 소비자 피해가 발생했거나 내부통제가 취약한 금융회사 등을 대상으로 한 테마검사도 강화된다.
한편 금감원은 보안대책 소홀에 따른 침해사고 및 대고객 서비스 관련 시스템 자원에 대한 성능관리 소홀로 발생한 장애사고의 경우 사고원인 규명을 위한 현장검사를 실시할 예정이다. 앞서 IT리스크 상시평가 결과 사고 개연성이 높은 금융회사나 대형 전자금융업자에 대해서도 내부통제 점검을 위한 현장검사가 진행될 방침이다.
금감원은 이를 위해 IT리스크 수준을 조기 판별할 수 있는 상시평가 모형을 개발할 예정이다. 4월 중에는 IT상시협의체를 구성해 금융회사 및 전자금융업자와 각종 현안사항 등에 대한 소통을 확대해나갈 계획이다.
