BitSight Third-Party Risk Management

왜 지금인가

• 2026년 7월 29일 금융감독원 제3자 IT 리스크 관리 가이드라인 발표
• 2026년 9월 11일 개정 개인정보 보호법 시행, 수탁사에도 보호책임자 의무 준용
• 2026년 11월부터 업권별 모범규준 순차 적용, 최종 책임은 이사회로

가이드라인은 주요 제3자에 대해 반기 1회 이상 점검을 요구합니다. 연 1회 설문지로는 이 기준을 맞출 수 없고, 협력사가 스스로 써낸 문서로는 사실인지 확인할 방법이 없습니다. BitSight 분석 자료에 따르면 침해 사고 중 제3자가 관여한 비율은 48%, 협력사가 침해 사실을 알려주기까지 걸린 시간의 중앙값은 73일입니다.

어떻게 관리하나

1. 협력사 목록 등록: 모니터링할 협력사 도메인을 등록합니다. 협력사 동의는 필요 없습니다
2. 중요도 분리: 감독 기준의 "주요 제3자"에 맞춰 핵심과 일반으로 나눕니다
3. 개선 요청과 추적: 점수를 깎는 항목을 근거로 협력사에 개선을 요청하고 변화를 추적합니다
4. 보고: 분기마다 등급 변화를 경영진 보고자료로 정리합니다

출처: 금융감독원 제3자 IT 리스크 관리 가이드라인(2026. 7. 29), BitSight 분석 자료.