수협은행 검사결과제재 (2025-12-05)

전자금융거래의 안전성 확보의무 위반 (가) 전산자료 백업 및 소산 의무 위반 ｢전자금융거래법｣ 제21조 제2항, 제40조 제1항, ｢전자금융감독규정｣ 제7조, 제13조 제1항 제8호 및 제60조 제1항 제8호에 의하면 금융회사는 전산자료의 파괴 등을 방지하기 위하여 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고 백업내역을 기록·관리하는 등 전산자료 보호대책을 수립·운용해야 한다. 하지만 수협은행은 2019.5.1.∼2023.9.22. 기간 중 A에 ASP*(Application Service Provider) 방식으로 위탁 운영하는 인터넷뱅킹 채널 시스템**의 전산자료를 백업 및 소산하고 백업내역을 기록·관리할 것을 규정한 전산자료 보호대책***을 운용하지 않아 동 시스템과 관련된 프로그램 소스 등 중요 전산자료가 백업 및 소산 되지 않는 결과를 초래한 사실이 있다. * 소프트웨어, 전산운용을 위한 인프라 등을 판매하는 방식이 아니라 일정 요금을 받고 대여해 주거나 위탁받아 운용해 주는 서비스 ** 수협은행 인터넷뱅킹 시스템 중 사용자 웹 인터페이스, 본인 인증을 수행하는 시스템 *** 내규 ｢㉮｣에 백업 및 소산을 실시하도록 규정 (나) 인터넷뱅킹 채널 시스템 물리적 망분리 위반 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제7조 및 제15조 제1항 제5호에 의하면 금융회사는 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리해야 한다. 하지만 수협은행은 2023.9.4. A에 위탁하여 운영 중인 인터넷뱅킹 채널 시스템의 정보처리시스템에 운영·개발 목적으로 직접 접속하는 단말기를 외부통신망과 물리적으로 분리하지 않고 논리적*으로만 분리·운영함으로써 물리적 망분리 의무를 위반한 사실이 있다. * 물리적으로 존재하지 않지만 서버에서 작동하는 가상의 PC를 사용하게 하는 가상데스크톱 (VDI : Virtual Desktop Infrastructure) 형태 < 관련법규 >