에이비엘생명보험주식회사 검사결과제재 (2019-10-28)

｢전자금융거래법｣ 제21조제2항, ｢전자금융감독규정｣ 제7조, 제15조제1항제3호 및 제5호, ｢전자금융감독규정시행세칙｣ 제2조의2제3항에 의하면 금융회사는 내부통신망과 연결된 내부 업무용시스템은 인터넷 등 외부통신망과 분리·차단 및 접속을 금지하여야 하고, 전산실 내에 위치한 정보처리시스템은 인터넷 등 외부통신망으로부터 물리적으로 분리 하여야 하며, 망분리 적용을 예외로 하기 위해서는 자체 위험성 평가를 실시한 후 망분리 대체 정보보호통제 적용 및 정보보호위원회의 승인을 받아야 하는데도,

에이비엘생명은 2013.11월 내부통신망과 연결된 내부 업무용시스템에 대한 망분리를 도입하였으나, 2019.3월말까지 내부 업무용 PC에서 ○○○, △△ △△ 등 외부 인터넷 사이트와 접속을 허용한 사실이 있음

2013.11월 전산실 내에 위치한 정보처리시스템에 대한 물리적 망분리를 도입하였으나, 2019.3월말까지 방화벽, 디도스대응장비 등 보안업무 관련 내부 정보처리시스템 ◦◦대에 운영·보안 목적으로 직접 접속하는 단말기를 외부 인터넷사이트와 물리적으로 분리하지 않았고, 웹응용서버 등 내부 정보처리시스템 ◦◦대에서 외부 인터넷망에 위치한 △△△△ 서버, ◎◎◎◎◎ 서버 등 외부서버 ◦◦대와 물리적으로 분리하지 않고 연결을 허용 하였음

2016.1.1.〜2019.4.3. 기간중 임직원 총 ◦◦명에게 원격 접속을 위해 망분리 예외를 허용 하면서 망분리 예외시 수행하여야 할 대체 정보보호통제* 적용 및 정보보호위원회 승인 없이 운영한 사실이 있음 * 망분리 예외 적용시 필요한 대체 정보보호통제 방안 중 원격 접속하는 단말기에 대한 악성코드 감염예방 대책 마련 및 원격접속 작업내역에 대한 책임자 점검 미실시 < 관계 법규 > -「전자금융거래법」제21조 -「전자금융감독규정」제7조, 제15조 -「전자금융감독규정시행세칙」제2조의2