외주 용역업체 개발자 단말기 통제 및 원격 접속 보안 쟁점

핵심 판단

외주 인력의 반입 단말에 매체제어·백신이 적용되고, 원격접속은 상시 개방이 아닌 승인 기반·MFA·작업기록(녹화) 통제가 되는지, 계약서에 보안요구사항과 사후감사 권한이 명시되었는지가 핵심이다.

배경

외주 개발·유지보수 인력의 단말과 원격 계정을 통해 소스코드·개인정보가 유출될 위험이 크다. 상시 개방 원격계정, MFA 미적용, 작업기록 미비가 반복 결함이다.

주요 쟁점 및 심사 포인트

• 외주 반입 단말 매체제어·백신·자료 반출 통제 여부
• 원격접속 승인 절차·MFA·세션 시간제한·작업 화면기록 여부
• 외주 계약서 보안요구사항·점검권·비밀유지 조항 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.3.2 외부자 계약 시 보안
• 2.3.3 외부자 보안 이행 관리
• 2.6.6 원격접근 통제
• 2.4.6 반출입 기기 통제

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보의 처리 제한)
  • 위탁 시 문서화·수탁자 관리·감독 의무 → 외주 개발·운영도 수탁관리 대상.
• 「개인정보의 안전성 확보조치 기준」 제6조(접근통제)
  • 외부 접속 시 안전한 인증수단 적용, 접근권한 최소화 및 통제.
• 「전자금융감독규정」 제60조(외부주문등에 대한 기준)
  • 금융회사의 정보처리 외부주문(위탁) 시 보안기준 및 관리·감독 요건.(해당 시)

참고 가이드

• 「금융권 ISMS-P 점검항목 안내서」 외부자 보안 부분
• 「개인정보 처리 통합 안내서」 위탁 부분

심사 시 확인사항 (증적)

• 외주 계약서·보안서약·위탁 문서 및 수탁자 점검 결과
• 반입 단말 등록·매체제어·백신 설치 증적
• 원격접속 승인 이력·MFA 로그·세션 녹화 기록

주요 결함 사례

외주 반입 노트북에 매체제어/백신이 미설치되고, 상시 개방된 원격 계정을 MFA 없이 공용으로 사용함.

보완 대책

1. 외주 단말 표준 보안 이미지·매체제어 적용 및 반출 통제
2. 원격접속 승인 기반 전환, MFA·세션 제한·작업기록 의무화

연관 쟁점

• [ISSUE-050] IT 외주(SI·SM) 소프트웨어 성능·보안 SLA 관리 쟁점
• [ISSUE-015] 업무용 단말기 DLP·매체제어 및 출력물 보안(워터마크) 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)