제3자 IT 리스크 평가 체크리스트 — 별표 47항목 전문
최종 수정 2026-09-18
금융감독원 「금융회사의 제3자 IT 리스크 관리 가이드라인」(2026.7.30 제정, 2026.11.2 시행)의 [별표] 제3자 IT 리스크 평가 체크리스트는 4개 분류 47개 평가항목과 별도의 감점항목으로 이뤄져 있습니다. 금융회사가 수탁업체를 평가할 때 쓰는 표이므로, 수탁업체 입장에서는 미리 채워 두어야 할 목록이기도 합니다.
아래 표의 '준비할 증적'은 원문에 없는 내용입니다. 실사에서 실제로 요구되는 형태를 기준으로 정리했습니다.
채점 방식부터 봅니다
항목마다 충족 1점 / 부분충족 0.5점 / 미충족 0점 / 해당사항없음으로 평가합니다. 해당사항없음은 0점이 아니라 평가항목수에서 빠집니다. 클라우드를 쓰지 않는 회사가 클라우드 항목에서 손해를 보지 않는다는 뜻입니다.
최종평가점수 = [(항목별 점수 합산 ÷ 평가항목수) × 100] − 감점항목
그리고 이 한 문장이 사실상 계약을 가릅니다.
평가점수가 60점 이하인 경우에는 위탁계약을 해지하거나 계약 체결 및 유지여부에 대해 이사회 심사 및 승인 등의 강화된 심사절차를 거쳐야 한다.
60점 초과라고 끝나는 것도 아닙니다. 미흡 항목에 대해서는 개선조치를 하고 이행 여부까지 확인받습니다.
1. IT·정보보호 정책 및 조직 (7항목)
정책 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 정보보호 및 IT 정책·지침·규정 수립·시행 | 정보보호 정책서, 최근 검토·승인 기록(승인자와 일자) |
| 의사결정에 참여하는 보고·검토 및 승인절차 수립·이행 | 보안 안건 보고 라인, 승인 이력 |
| 정보보호 및 IT 자산 식별·관리 절차 | 자산관리 절차서와 실제 운영 기록 |
조직 (4)
| 평가 항목 | 준비할 증적 |
|---|---|
| 정보보호 총괄 임원 또는 책임자 지정 | 지정 공문 또는 역할이 표시된 조직도. 겸임도 인정됩니다 |
| 전문성 있는 전담조직 구성과 역할·책임 정의 | 조직도, 직무기술서 |
| 직무분리·보안통제 등 내외부 인력 보안 정책 | 인력 보안 규정, 외주 인력 서약서 |
| IT보안·개인신용정보 보호 주기적 보안교육 | 교육 자료, 참석자 명단, 실시 일자. 외부 온라인 교육 이수증 포함 |
2. 정보보안 관리 (23항목)
47항목 중 절반에 가깝습니다. 여기서 점수가 갈립니다.
위험평가 및 관리 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 정보자산 식별·분류, 중요도 산정, 최신 유지 | 자산명·담당자·중요도·보관 데이터가 표시된 자산 목록 |
| 수탁 업무 관련 서비스·자산의 취약점 점검 및 조치 | 점검 결과와 조치 완료 이력 |
| EOS 자산 교체 및 최신 보안패치 적용 | 자산별 기술지원 종료일, 패치 적용 이력 |
사용자 인증 및 접근통제 (5)
| 평가 항목 | 준비할 증적 |
|---|---|
| 접근권한 부여·변경·회수의 적정성 정기 검토 | 권한 검토 대장, 퇴사자 권한 회수 기록 |
| 업무권한 차등화와 관리자 계정 통제 | 권한 매트릭스, 관리자 계정 목록과 사용 승인 |
| 주요 시스템·애플리케이션 로그인 시 이중 인증 | MFA 적용 화면, 적용 대상 목록 |
| 기본 패스워드 금지와 안전한 비밀번호 규칙 | 계정 정책 설정값 |
| P2P·웹하드 등 불필요한 웹사이트 차단·통제 | 차단 정책 설정 화면 |
암호화 및 데이터 (4)
| 평가 항목 | 준비할 증적 |
|---|---|
| 법적 요구사항을 반영한 암호화 대상·강도 정책, 민감정보 저장·전송 암호화 | 암호화 정책서, 적용 구간 목록 |
| 암호키 생성·이용·보관·배포·파기 관리 절차 | 키 관리 절차서, 키 교체 이력 |
| 위탁 데이터 접근제어·위변조 방지 | 접근 로그, 무결성 검증 방식 |
| 위탁업무 종료 시 안전한 이관과 복구 불가능한 파기 | 파기 절차서, 파기 확인서 양식 |
암호화는 "적용하고 있다"까지는 대부분 답하지만 암호키 관리 절차와 계약 종료 시 파기에서 부분충족으로 내려갑니다. 두 항목 모두 문서 한 장이면 충족으로 올라갑니다.
개발 보안 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 보안 요구사항·취약점·시큐어 코딩 정의 및 적용 | 시큐어 코딩 가이드, 코드 점검 결과 |
| 개발·테스트 시스템과 운영시스템 분리, 소스코드 접근 제한 | 환경 분리 구성도, 저장소 권한 설정 |
| 테스트 과정의 이용자 정보 유출·노출 방지 조치 | 테스트 데이터 생성·가명처리 방식 |
직접 개발하는 SaaS라면 반드시 확인받는 영역입니다. 운영 DB를 복사해 테스트하는 관행이 있다면 여기서 걸립니다.
시스템 및 서비스 보안관리 (5)
| 평가 항목 | 준비할 증적 |
|---|---|
| 침입탐지시스템·방화벽 등 정보보호시스템 운영 | 구성도, 정책 설정 화면 |
| 공개용 웹서버 등 주요 시스템의 주기적 취약점 점검·모의해킹 | 점검·모의해킹 보고서 |
| 랜섬웨어 등 악성코드 탐지·예방체계 | 백신·EDR 운영 화면, 탐지 이력 |
| 단말기 백신·매체제어(USB)·출력물 보안 | 단말 보안 정책 설정값 |
| 클라우드 이용 시 전자금융감독규정상 안전성 확보대책 준수 | 클라우드 이용 현황, 규정 대비 점검표 |
마지막 항목이 금융권 납품 수탁업체가 가장 많이 놓치는 지점입니다. 클라우드를 쓰면서 전자금융감독규정을 한 번도 대조해 보지 않은 경우가 흔합니다.
물리적 보안 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 전산센터·전산실 출입통제와 감시제어 설비 | 출입기록, CCTV 운영 현황 |
| 화재감지·소화설비·누수감지·비상발전·이중전원 등 보호설비 | 설비 목록, 점검 기록 |
| 비인가 출입통제·중요문서 보관·사무실 보안 점검 | 사무실 보안 점검표 |
자체 전산실 없이 클라우드만 쓴다면 앞의 두 항목은 해당사항없음으로 빠질 수 있습니다. 대신 클라우드 사업자의 인증서를 첨부해 설명하는 편이 안전합니다.
3. IT 안전성 및 연속성 (9항목)
업무연속성 및 재해복구 (6)
| 평가 항목 | 준비할 증적 |
|---|---|
| 가용성 보장을 위한 성능·용량 정의와 장애 예방 모니터링 | 모니터링 구성 화면, 임계치 설정 |
| 주요 설비 이중화 | 중요 구간 이중화 구성도 |
| 백업 대상·주기·방법·보관장소·소산 절차 수립과 정기 검증 | 백업 정책, 복구 테스트 일자와 결과 |
| 장애 시 위탁자에 지체없는 보고와 장애·복구 내용 기록 | 통지 기준(시간·대상·경로), 장애 보고서 양식 |
| 핵심업무 복구목표시간 준수를 위한 재해복구시스템 운영·지원 | RTO 정의, 재해복구 구성 |
| 비상상황 위기대응매뉴얼 구비와 정기 훈련 | 매뉴얼, 훈련 시나리오와 결과 |
백업은 "받고 있다"가 아니라 복구해 봤다는 기록이 증적입니다. 이 구분에서 부분충족이 많이 나옵니다.
침해사고 예방·대응 및 관리 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 내·외부 침해시도 탐지·대응·분석·공유 체계와 절차 | 대응 절차서, 공유 체계 |
| 침해·유출 시도의 신속한 탐지·대응 모니터링과 사후조치 | 탐지 룰, 사후조치 기록 |
| 주기적 침해대응훈련 | 훈련 계획과 결과 보고 |
4. 개인(신용)정보 관리체계 (8항목)
관리체계 (5)
| 평가 항목 | 준비할 증적 |
|---|---|
| 개인(신용)정보 보호 내부관리계획 수립 | 내부관리계획 문서, 연 1회 이상 이행 점검 기록 |
| 위탁업무 관련 보유 개인(신용)정보 관리 현황의 주기적 파악 | 항목별 보유 건수, 집계 시점 |
| 가명정보 처리 시 처리방법·기준, 적정성 검토, 재식별 금지 절차 | 가명처리 절차서, 적정성 검토 결과 |
| 개인(신용)정보 취급자 현황 관리 | 취급자 명단, 권한과 변경 이력 |
| 개인(신용)정보보호시스템 현황 관리 | 보호시스템 목록과 운영 현황 |
위탁목적 외 이용제한 (3)
| 평가 항목 | 준비할 증적 |
|---|---|
| 위탁업무 수행 목적 범위를 넘는 이용·제공·누설 금지 | 서약서, 목적 외 이용 점검 기록 |
| 재위탁 시 위탁자 사전 승인 | 재위탁 업체 목록(회사명·서비스·처리 데이터·소재지), 승인 문서 |
| 재위탁 시 재수탁자에 대한 보안점검 및 교육 | 재수탁 업체 점검표, 교육 기록 |
재위탁은 사전 승인까지는 받는데 재수탁 업체 보안점검·교육까지 하는 곳이 드물어 부분충족으로 내려가기 쉽습니다. AWS나 결제대행처럼 당연하게 쓰는 서비스를 재위탁으로 인식하지 않는 경우도 많습니다.
5. 감점항목
앞의 47항목과 별개로, 아래 사실이 있으면 최종점수에서 직접 차감합니다.
평판 위험
| 항목 | 감점 |
|---|---|
| 최근 3년간 해킹·개인정보유출 등 침해사고 발생 | 건당 10점 |
| 최근 1년간 3시간 이상 시스템 장애로 금융회사·금융소비자에 피해 | 건당 10점 |
| 최근 3년간 정보보호 관련 감독당국(금융위·금감원·개보위 등)의 과징금·과태료·시정명령 | 건당 10점 |
조치 미이행
| 항목 | 감점 |
|---|---|
| IT리스크 평가 관련 제출 자료가 거짓·허위인 경우 | 건당 10점 |
| 개선요구 사항 미이행 또는 조치 불가능으로 판단되는 경우 | 건당 20점 |
재무건전성
| 항목 | 감점 |
|---|---|
| 자본잠식(완전·부분) 상태이거나 부도·파산 우려로 계약이행이 어렵다고 판단되는 경우 | 40점 |
감점항목은 통제를 잘 갖춘다고 되돌릴 수 없습니다. 47항목을 모두 충족해 100점을 받아도 자본잠식 하나로 60점이 되고, 그 순간 계약 재검토 구간입니다. 설명자료를 미리 갖춰 두는 것이 유일한 대응입니다.
거짓·허위 자료 제출이 감점 대상이라는 점도 기억할 만합니다. 없는 통제를 있다고 적는 것이 부분충족으로 정직하게 적는 것보다 나쁜 결과를 냅니다.
47항목을 한 번에 다 갖출 필요는 없습니다
산식이 평균이라 항목 하나가 전체를 무너뜨리지 않습니다. 대신 미충족이 몰려 있는 분류부터 손대는 편이 점수를 빨리 올립니다. 정보보안 관리가 23항목으로 가장 무겁고, 그 안에서도 암호키 관리·계약 종료 시 파기·개발환경 분리처럼 문서 한 장으로 해결되는 항목이 여럿 있습니다.
세부사항은 금융회사가 별도로 정할 수 있어(부칙 제2조) 실제 받게 될 평가표는 거래처마다 조금씩 다릅니다. 별표를 뼈대로 준비해 두고 거래처 양식을 받으면 항목을 덧붙이는 방식이 현실적입니다.
이 도구는 법률 자문이 아닙니다. 금융감독원 「금융회사의 제3자 IT 리스크 관리 가이드라인」(2026.7.30 제정, 2026.11.2 시행) [별표] 제3자 IT 리스크 평가 체크리스트를 기준으로 한 자가 점검이며, 실제 평가는 금융회사가 자체 기준을 더해 수행합니다.