금융감독원 가이드라인 · 2026년 11월 2일 시행

금융권에 납품한다면,
실사 요청은 반드시 옵니다.

Weyrion은 금융회사에 납품하는 IT·SaaS 업체가 거래처마다 다르게 오는 제3자 IT 리스크 실사 요청에, 한 번 쌓은 증적으로 반복 응답하게 해 주는 도구입니다.

가입 없이 바로 시작합니다. 15개 문항, 약 3분. 별표 채점식과 60점 기준선을 그대로 적용합니다.

무엇이 달라지나

회사명·제공 서비스·데이터 종류와 건수·암호화 방식·시스템 소재지·사고 연락체계까지 파악해 정기적으로 최신화해야 합니다. 그 항목을 채워 보내는 쪽은 수탁업체입니다.

IT·정보보호 정책 및 조직 7, 정보보안 관리 23, IT 안전성 및 연속성 9, 개인(신용)정보 관리체계 8. 충족 1점·부분충족 0.5점·미충족 0점으로 채점하고, 침해사고와 감독당국 조치는 건당 10점, 자본잠식은 40점을 깎습니다.

별표는 최종평가점수 60점 이하인 수탁업체에 대해 금융회사가 위탁계약을 해지하거나, 계약 체결·유지 여부를 이사회 심사·승인에 올리도록 하고 있습니다. 점검은 연 1회 이상, 주요 제3자로 지정되면 반기 1회 이상 반복됩니다.

금융감독원 가이드라인 [별표] 제3자 IT 리스크 평가 체크리스트는 4개 분류 47개 항목입니다. 무료 진단은 그중 실사에서 먼저 막히는 38개 항목을 15개 문항으로 묶어 묻습니다.

1. IT·정보보호 정책 및 조직 · 별표 7항목

2. 정보보안 관리 · 별표 23항목

3. IT 안전성 및 연속성 · 별표 9항목

4. 개인(신용)정보 관리체계 · 별표 8항목

5. 감점항목

최근 3년 침해사고, 최근 1년 3시간 이상 장애, 최근 3년 감독당국 조치는 각각 건당 10점, 자본잠식이나 부도·파산 우려는 40점이 깎입니다. 통제를 아무리 잘 갖춰도 되돌릴 수 없는 항목이라, 설명자료를 미리 갖추는 것이 유일한 대응입니다.

우리 회사도 대상인가요?: 가이드라인의 직접 의무 주체는 금융회사입니다. 다만 금융회사가 위탁업체를 평가해야 하므로, 금융회사에 클라우드·SaaS·IT 서비스를 제공하거나 정보처리 업무를 수탁하는 업체는 실질적으로 체크리스트를 받게 됩니다. ISMS 인증 의무 대상이 아니어도 마찬가지입니다.
언제부터인가요?: 가이드라인은 2026년 7월 30일 제정되었고 부칙 제1조에 따라 2026년 11월 2일부터 시행됩니다. 세부사항은 금융회사가 별도로 정할 수 있어, 실제 평가표는 거래처마다 조금씩 달라집니다.
진단 결과가 실사 통과를 보장하나요?: 아닙니다. 별표 체크리스트의 채점식과 감점, 60점 기준선을 그대로 옮겼지만, 무료 진단은 47항목 전체가 아니라 실사에서 먼저 막히는 항목을 15개 문항으로 묶어 묻습니다. 실제 평가는 금융회사별 추가 항목과 현장 확인을 포함합니다.
입력한 내용이 저장되나요?: 진단 답변과 점수는 결과 링크를 만들기 위해 90일간 보관합니다. 회사를 식별할 수 있는 정보는 이메일로 결과를 받겠다고 선택하기 전까지 받지 않습니다.

15개 문항에 답하면 영역별 점수와 보완이 필요한 항목을 바로 보여드립니다.