나. 자체감사 등을 통한 자율규제 기능 강화
□ 기본방향：IT인프라 운영 및 정보보호 등 IT업무 전반에 대한 상시평가 과정에서 취약점이 확인되는 경우
o금융회사 및 전자금융업자에 대해 자체감사를 요구하는 ‘자체감사 요구제도’(가칭)를 도입‧시범 실시할 예정입니다.
□ 운영방안：IT리스크 상시평가 등급이 일정기준 이하인 경우 해당 금융회사 및 전자금융업자의 자체감사 활동을 통해 취약점을 자율시정 하도록 유도할 예정입니다.
o금융회사‧전자금융업자가 제출한 자체감사 결과는 IT검사국 담당 검사팀에서 ‘적정성 검토(Review)’를 실시하고,
- 금융회사 등의 자체감사 결과 조치사항이 ‘적정’한 경우에는 금융회사 등의 의견을 원칙적으로 수용하되,
- 개선 등의 조치가 부실하거나 허위의 사실을 보고하는 등 ‘부적정’한 것으로 판단되는 경우에는 필요시 금융감독원이 직접 검사를 실시할 예정입니다.
다. IT부문에 대한 사전예방적 검사 강화
□ 정기검사：금융회사의 특성, 규모, IT 의존도 등을 감안하여 2~5년 주기※로 IT부문에 대한 정기검사를 실시하겠습니다.
oIT업무 전반에 대한 실태평가와 함께 상시평가 결과 확인된 취약점 및 미흡사항에 대해서도 중점 검사할 예정입니다.
□ 수시검사：IT사고로 소비자 피해가 발생하였거나, 내부통제가 취약한 금융회사등을 대상으로 테마검사를 강화할 예정입니다.
o망분리 규제 준수, 공개용 웹서버 취약점 보정(patch) 등의 보안대책 소홀 따른 침해사고가 발생하거나,
o인터넷뱅킹, 모바일 앱 등 대고객 서비스 관련 시스템 자원(서버, 회선, 전산장비 등)에 대한 성능관리 소홀로 장애사고가 발생한 경우 사고원인 규명을 위한 현장검사를 실시할 예정입니다.
o아울러 IT리스크 상시평가 결과, IT부문의 내부통제가 취약하여 사고 개연성이 높은 금융회사나 대형 전자금융업자에 대해 내부통제 점검을 위한 현장검사를 실시할 예정입니다.