보험업계가 IT 외주업체와 클라우드 서비스 제공자 등에 맡긴 정보처리 업무의 보안관리를 강화한다. 계약 전 위험평가부터 계약 종료 후 정보 파기까지 관리 절차를 마련하고, 이사회에 최종 관리책임을 부여하는 것이 핵심이다.
29일 보험업계에 따르면 생명보험협회는 이 같은 내용을 담은 '제3자 정보기술(IT) 리스크관리 가이드라인' 제정안을 공고했다. 다음 달 12일까지 의견을 수렴하며, 내년 1월 2일 시행이 예고됐다. 손해보험협회도 해당 가이드라인을 도입할 예정이다.
관리 대상은 보험사로부터 정보처리 업무를 위탁받은 IT업체와 클라우드 서비스 제공자 등이다. 정보처리는 전산설비를 활용한 정보의 수집·저장·가공·이용·제공·파기 등이 포함된다. 보험계약 모집을 위탁받는 법인보험대리점(GA)을 대상으로 한 판매 위탁·관리와는 구분된다.
단순 시스템 개발·유지보수는 적용 대상에서 제외되며, 데이터 암호화와 백업·복구 등 정보처리를 수반하면 관리 범위에 들어간다. 직접 계약한 업체 외에 실제 정보를 처리하는 별도 업체가 명확한 경우 해당 업체도 위험평가를 받도록 했다.
제정안에 따라 보험사는 계약 전 검토 단계와 계약 이후 운영 단계에서 수탁업체 IT리스크를 주기적으로 평가한다. 정보보호 조직과 관리체계, 시스템 안정성, 개인신용정보 보호 수준은 물론 해킹·정보유출·전산장애와 감독당국 제재 이력 등을 점검하는 것이 골자다.
계약 체결이나 갱신 전에는 현장실사로 보안체계와 업무수행 역량을 검증하는 것이 원칙이다. 단 현장 실사가 어렵거나 필요성이 낮다고 판단되면 서면 실사나 외부 전문기관 평가 등으로 대체할 수 있다.
고객정보나 민감정보를 대량 처리하고 사고 발생 시 피해가 클 것으로 판단되는 업체는 '주요 제3자'로 지정된다. 주요 업체에는 원칙적으로 반기마다 IT리스크 평가를 실시하고, 백업과 복구체계도 정기적으로 점검토록 유도한다.
보안 수준은 향후 보험사와 계약 유지 여부에도 영향을 미치게 된다. 제정안은 최근 3년간 침해사고와 정보보호 관련 제재에 건당 10점, 개선 요구 미이행 등에 건당 20점을 감점하도록 규정했다. 60점 이하라면 계약 해지 또는 이사회 심사·승인 등 강화된 절차를 거쳐야 한다. 평가항목과 관리 수준은 위탁업무 위험도 등에 따라 조정이 가능하다.
보험사 내부 책임도 명확히 했다. 이사회가 최종 관리책임을 지고 경영진은 총괄관리부서를 지정한다. 수탁업체가 사고를 인지하면 즉시 보험사에 통보하도록 계약에 명시하고, 계약 종료 시 정보 반납과 접근권한 말소, 완전한 파기까지 관리할 의무를 부여했다.
보험 고객정보에는 이름·연락처뿐 아니라 보험가입 내역과 질병 이력 등 개인신용정보와 민감정보가 포함될 수 있다. 외부 업체 보안 취약점이 대규모 정보유출로 이어지지 않도록 위탁 단계부터 통제될 전망이다.
보험업계 관계자는 “보험사 외부 IT리스크 관리를 위해 가이드라인이 마련됐다”며 “외부 업체에 개인정보를 위수탁할때 발생할 수 있는 위험에 대한 점검·관리가 강화될 예정”이라 전했다.
박진혁 기자 spark@etnews.com
