금융회사 위탁업체 실사 대응 — 수탁업체 준비 순서

금융회사에서 제3자 IT 리스크 실사 요청서가 도착했습니다. 회신 기한은 보통 2주 안쪽입니다. 무엇부터 해야 할까요.

이 글은 보안 담당자가 따로 없는 수탁업체를 기준으로 썼습니다.

먼저 확인할 세 가지

1. 우리가 주요 제3자로 지정되었는가. 금융회사 업무나 금융소비자에 중대한 영향을 미치는 제3자는 별도로 지정되고, 요구사항이 늘어납니다. 요청서에 명시되어 있지 않으면 담당자에게 물어보는 편이 낫습니다. 뒤늦게 알면 준비 범위가 통째로 달라집니다.

2. 회신 양식이 무엇인가. 가이드라인의 15항목을 그대로 쓰는 곳도 있고, 자체 체크리스트를 붙이는 곳도 있습니다. 원문 12개 식별 항목의 마지막이 "기타: 회사별 추가"이므로 금융회사마다 달라질 수 있습니다.

3. 현장 실사가 포함되는가. 계약 전 단계에서는 현장 실사 등을 통한 검증이 요구됩니다. 서면만 받는지, 방문이 예정되어 있는지에 따라 준비 강도가 다릅니다.

준비 순서

1단계 — 문서로 존재하는 것부터 모읍니다

정보보호 정책서, 담당자 지정 기록, 보안교육 이수 자료, 자산 목록, 취약점 점검 결과. 이미 있는데 흩어져 있는 경우가 대부분입니다. 새로 만들기 전에 있는 것부터 한 곳에 모으면 절반은 채워집니다.

2단계 — 숫자를 세야 하는 항목을 처리합니다

데이터 종류와 건수가 여기 해당합니다. 개인정보를 어떤 항목으로 몇 건 보유하고 있는지 평소에 집계해 두는 회사는 드뭅니다. 시간이 가장 오래 걸리는 항목이므로 먼저 시작하세요.

한 번 세어 두면 다음 요청에서는 갱신만 하면 됩니다. 분기 1회 집계를 습관으로 만드는 편이 결국 빠릅니다.

3단계 — 재위탁 목록을 만듭니다

AWS, 결제대행사, 이메일 발송 서비스, 고객 지원 도구. 서비스 운영에 쓰는 외부 업체가 모두 하위 처리자입니다. 회사명·제공 서비스·처리하는 데이터·소재지 네 칸으로 시작하면 됩니다.

계약서에 재위탁 사전 승인 조항이 있는지도 함께 확인하세요. 이미 쓰고 있는 서비스에 대해 사후 승인을 받아야 하는 상황이 자주 생깁니다.

4단계 — 사고 통지 기준을 계약서와 맞춥니다

침해사고 대응 절차서보다 통지 기준이 먼저입니다. 사고를 인지한 뒤 몇 시간 안에, 누구에게, 어떤 경로로 알릴 것인가. 이것이 계약서에 적힌 내용과 다르면 그 차이 자체가 지적 사항이 됩니다.

5단계 — 미흡 항목에 보완 계획을 붙입니다

모든 항목을 충족한 상태로 회신하는 회사는 거의 없습니다. 중요한 것은 미흡한 항목에 대해 언제까지 무엇을 하겠다는 계획을 함께 내는 것입니다. 식별된 위험에 보완 조치가 수행되면 계약은 유지됩니다.

계약 단계별로 요구되는 것

계약 종료 후 조치는 회신 시점에 준비할 일은 아니지만, 계약서에 조항이 들어가므로 미리 알아 두는 편이 좋습니다.

두 번째 거래처부터 달라집니다

한 곳만 상대할 때는 엑셀로 버틸 수 있습니다. 두 곳부터는 양식이 다르고 점검 시점이 어긋납니다. 같은 내용을 서로 다른 칸에 옮겨 적는 일이 반복되고, 어느 거래처에 무엇을 언제 제출했는지 추적이 안 되기 시작합니다.

자사 정보를 한 번 정리해 두고 거래처별 양식으로 내보내는 구조를 만들면 이 반복이 사라집니다.

현재 준비 상태 진단하기