제3자 IT 리스크 체크리스트 — 5영역 15항목 전문
최종 수정 2026-09-18
금융감독원이 공개한 「제3자 IT리스크 평가 요소」는 5개 영역 15개 항목입니다. 금융회사가 수탁업체를 평가할 때 쓰는 기준이므로, 수탁업체 입장에서는 미리 채워 두어야 할 목록이기도 합니다.
아래 표의 '준비할 증적'은 원문에 없는 내용입니다. 실사에서 실제로 요구되는 형태를 기준으로 정리했습니다.
1. IT 보안 정책 및 조직
| 평가 항목 | 준비할 증적 |
|---|---|
| 보안 정책 및 규정 수립 | 정보보호 정책서, 최근 검토·승인 기록(승인자와 일자) |
| 정보보호 전담조직 유무 | 담당자 지정 공문 또는 역할이 표시된 조직도. 겸임도 인정됩니다 |
| 보안교육 실시 여부 | 교육 자료, 참석자 명단, 실시 일자. 외부 온라인 교육 이수증 포함 |
2. 정보보안 관리
| 평가 항목 | 준비할 증적 |
|---|---|
| 정보자산 식별관리 | 자산명·담당자·중요도·보관 데이터가 표시된 자산 목록 |
| 접근통제/암호화 | 계정 목록, 권한 부여·회수 기록, 저장·전송 구간 암호화 적용 내역 |
| 서비스 보안관리 | 취약점 점검 결과, 보안 패치 적용 이력. 자동 스캔 리포트도 증적이 됩니다 |
접근통제와 암호화는 실사에서 가장 먼저 확인되는 항목입니다. 거래처 데이터에 누가 접근할 수 있는지, 퇴사자 권한이 언제 회수되었는지가 핵심입니다.
3. IT 안정성·연속성
| 평가 항목 | 준비할 증적 |
|---|---|
| 서비스 장애 모니터링 | 모니터링 구성 화면, 알림 수신자 목록, 최근 장애 인지·조치 기록 |
| 주요 설비 이중화 | 중요 구간의 이중화 구성도, 복구 목표 시간(RTO) |
| 침해 대응체계 | 사고 대응 절차서, 거래처 통지 기준(시간·대상·경로) |
전 구간 이중화를 요구하지는 않습니다. 중단 시 영향이 큰 구간을 골라 현재 구성과 복구 목표를 설명할 수 있으면 됩니다.
4. 개인(신용)정보 관리체계
| 평가 항목 | 준비할 증적 |
|---|---|
| 개인(신용)정보 보호계획 | 내부관리계획 문서, 연 1회 이상 이행 점검 기록 |
| 정보 취급 현황 관리 | 개인정보 항목별 보유 건수, 집계 시점 |
| 재위탁 사전 승인 | 하위 처리자 목록(회사명·서비스·처리 데이터·소재지), 사전 승인 절차와 계약 조항 |
이 영역의 뒤 두 항목이 실사에서 가장 자주 막히는 지점입니다. 개인정보를 몇 건 보유하고 있는지 평소에 세어 두는 회사가 드물고, AWS나 결제대행처럼 당연하게 쓰는 서비스를 재위탁으로 인식하지 않는 경우가 많기 때문입니다.
5. 평판 위험 등
| 평가 항목 | 준비할 자료 |
|---|---|
| 침해/장애사고 발생유무 | 발생 경위와 재발 방지 조치를 정리한 설명자료 |
| 보안 관련 제재 유무 | 처분 내용과 이후 개선 조치 |
| 재무건전성 | 최근 3개년 재무제표, 감사보고서 |
이 영역은 통제 수준이 아니라 사실입니다. 이력이 있다는 것 자체보다 설명할 자료가 준비되어 있는지가 평가를 가릅니다.
위험이 확인되면
식별된 위험에는 보완 조치를 수행하되, 통제·경감·이전이 불가능하면 계약을 중단하거나 이사회가 유지 여부를 결정합니다. 미흡 항목이 곧 계약 해지는 아니지만, 보완 계획을 제시하지 못하면 그 방향으로 갑니다.
업권별로 달라질 수 있습니다
세부 내용과 시행 시기는 업권별 모범규준에 따라 달라지거나 수정될 수 있습니다. 은행권 체크리스트와 저축은행권 체크리스트가 다르게 나올 수 있으므로, 15항목을 뼈대로 준비해 두고 거래처에서 실제 양식을 받으면 항목을 붙이는 방식이 현실적입니다.
이 도구는 법률 자문이 아닙니다. 금융감독원 보도참고자료(2026.7.29)에 공개된 항목을 기준으로 한 자가 점검이며, 업권별 협회의 모범규준이 제정되면 세부 항목이 달라질 수 있습니다.