금융감독원 가이드라인 · 2026년 11월 이후 시행

금융권에 납품한다면,
실사 요청은 반드시 옵니다.

Weyrion은 금융회사에 납품하는 IT·SaaS 업체가 거래처마다 다르게 오는 제3자 IT 리스크 실사 요청에, 한 번 쌓은 증적으로 반복 응답하게 해 주는 도구입니다.

가입 없이 바로 시작합니다. 15개 문항, 약 3분.

무엇이 달라지나

회사명·제공 서비스·데이터 종류와 건수·암호화 방식·시스템 소재지·사고 연락체계까지 12개 항목을 파악해 정기적으로 최신화해야 합니다. 그 항목을 채워 보내는 쪽은 수탁업체입니다.

보안 정책과 조직, 정보보안 관리, IT 안정성·연속성, 개인(신용)정보 관리체계, 평판 위험. 통제·경감·이전이 불가능한 위험이 확인되면 계약 중단까지 갑니다.

계약 이행 현황은 연 1회 이상, 주요 제3자로 지정되면 반기 1회 이상 점검합니다. 납품처가 여러 곳이면 서로 다른 시점에 서로 다른 양식으로 요청이 옵니다.

금융감독원이 공개한 「제3자 IT리스크 평가 요소」 5영역 15항목을 수탁업체 관점의 문항으로 옮겼습니다.

IT 보안 정책 및 조직

정보보안 관리

IT 안정성·연속성

개인(신용)정보 관리체계

평판 위험 등

침해/장애사고 발생유무 · 보안 관련 제재 유무 · 재무건전성 — 통제 수준이 아니라 사실이라 점수에 넣지 않고, 소명 준비가 필요한 항목만 따로 알려드립니다.

우리 회사도 대상인가요?: 가이드라인의 직접 의무 주체는 금융회사입니다. 다만 금융회사가 위탁업체를 평가해야 하므로, 금융회사에 클라우드·SaaS·IT 서비스를 제공하거나 정보처리 업무를 수탁하는 업체는 실질적으로 체크리스트를 받게 됩니다. ISMS 인증 의무 대상이 아니어도 마찬가지입니다.
언제부터인가요?: 2026년 7월 29일 배포되었고, 업권별 협회·중앙회의 모범규준 제정 등을 통해 2026년 11월 이후 적용됩니다. 원문에 시행 준비기간을 고려해 실제 적용시기가 일부 조정될 수 있다고 명시되어 있습니다.
진단 결과가 실사 통과를 보장하나요?: 아닙니다. 공개된 평가 항목을 기준으로 현재 준비 상태를 스스로 확인하는 도구입니다. 실제 실사는 금융회사별 추가 항목과 현장 확인을 포함합니다.
입력한 내용이 저장되나요?: 진단 답변과 점수는 결과 링크를 만들기 위해 90일간 보관합니다. 회사를 식별할 수 있는 정보는 이메일로 결과를 받겠다고 선택하기 전까지 받지 않습니다.

15개 문항에 답하면 영역별 점수와 보완이 필요한 항목을 바로 보여드립니다.