한화투자증권주식회사 검사결과제재 (2020-06-30)

전자금융거래법 제21조제2항, 전자금융감독규정 제7조 및 제15조 제1항제5호에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하는데도 한화투자증권㈜은 검사착수일 현재 정보처리시스템과 직접 접속하는 단말기 ◎◎대에 대해 인터넷 등 외부통신망으로부터 물리적으로 분리하지 않고 운영한 사실이 있음 ⑵ 내부사용자 비밀번호 관리 부적정

전자금융거래법 제21조제2항, 전자금융감독규정 제7조, 제32조 제2호에 의하면 금융회사는 내부사용자의 비밀번호 유출을 방지하기 위하여 비밀번호 관리정책을 시스템에 반영하고 시스템마다 관리자 비밀번호를 다르게 부여하여야 하는데도 한화투자증권㈜은 검사착수일 현재 데이터베이스 서버 ◇◇대의 관리자 비밀번호를 8자리 미만으로 설정하거나 특수문자를 포함하지 아니하거나 관리자 비밀번호를 동일하게 부여하는 등 비밀번호 관리를 소홀히 한 사실이 있음 ⑶ 개발용 데이터베이스 운영·통제 미준수

전자금융거래법 제21조제2항, 전자금융감독규정 제7조 및 제13조 제1항제10호에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지 하기 위해 테스트 시 이용자 정보 사용이 금지됨에도 한화투자증권㈜은 ◉◉◉◉◉ 업무 개발 및 테스트를 위해 검사착수일 현재 업무계 운영 데이터베이스에 저장중인 이용자정보 △△△건을 사용한 사실이 있음 <관련규정>

신용정보의 이용 및 보호에 관한 법률 제19조제1항, 동법 시행령 제16조 제2항, 신용정보업감독규정 제20조 및 별표3에 의하면 금융회사는 내부망에 주민등록번호를 저장하는 경우에는 개인신용정보처리시스템에 적용되고 있는 개인신용정보 보호를 위한 수단과 개인신용정보 유출시 신용정보주체의 권익을 해할 가능성 및 그 위험의 정도를 분석(이하 ‘위험도 분석‘)하여 암호화 적용여부 및 적용범위를 정하여야 하고,

신용정보관리·보호인은 신용정보보호 관련 법령 및 규정 준수 여부를 점검하여야 하는데도, ⑴ 한화투자증권㈜은 검사착수일 현재 내부망에 있는 데이터베이스 내 ‘□□□’ 등 ◉◉개 테이블에 저장된 주민등록번호 ◇◇◇건에 대해 위험도 분석을 실시하지 아니한 채 암호화하지 않았으며, ⑵ 신용정보관리·보호인은 내부망에 있는 주민등록번호의 암호화 여부에 대한 점검업무를 소홀히 하여 상기 주민등록번호에 대한 암호화 미적용 사실을 발견하지 못하였음 <관련규정>