신한은행 검사결과제재 (2025-12-05)

｢전자금융거래법｣ 제21조 제2항 및 舊｢전자금융감독규정｣(2025.2.5. 금융위원회고시 제2025-4호로 개정되기 이전의 것, 이하 ‘舊 ｢전자금융감독규정｣’) 제7조, 제29조 제6호 및 제8호에 의하면 금융회사는 프로그램(운영체제, 데이터베이스관리프로그램 등 시스템 프로그램을 포함)을 운영시스템에 적용하는 경우 처리하는 정보의 기밀성· 무결성·가용성을 고려하여 충분한 테스트 및 책임자 승인 후 실시 하여야 함

｢전자금융거래법｣ 제21조 제2항 및 舊｢전자금융감독규정｣(2025.2.5. 금융위원회고시 제2025-4호로 개정되기 이전의 것, 이하 ‘舊 ｢전자금융감독규정｣’) 제7조, 제29조 제6호 및 제8호에 의하면 금융회사는 프로그램(운영체제, 데이터베이스관리프로그램 등 시스템 프로그램을 포함)을 운영시스템에 적용하는 경우 처리하는 정보의 기밀성· 무결성·가용성을 고려하여 충분한 테스트 및 책임자 승인 후 실시하여야 하는데도 ㈜신한은행은 아래와 같이 ｢전자금융거래법｣제21조 제2항 등을 위반하였다. ㈎ 프로그램 적용 시 책임자 미승인 ◦A부서는 2022.3.14. 코어뱅킹DB 서버의 운영체제에 과부하를 일으킬 수 있는 접근 통제 프로그램 설정을 변경하여 운영시스템에 적용할 때 책임자의 승인을 받지 않았고, 동 접근통제 프로그램 적용 후 운영체제 과부하로 인해 코어뱅킹 DB 서버 작동이 중단되어 2022.3.14. 11:04분부터 12:30분까지(86분) 전체 전자금융업무가 중단되는 사고가 발생한 사실이 있다. ※ ㈜신한은행은 2022.7.10. 코어뱅킹DB 제조사의 권고에 따라 커널 파라미터 설정을 변경 하였고, 변경사항 사전 검증을 위한 ㉮협의체의 운영 프로세스를 개선하여 인프라 변경 사항에 대한 제3자 사전 검증체계를 강화함 ㈏ 프로그램 적용 시 테스트 미실시 ◦A부서는 2022.9.7. 추석연휴 거래량 증가에 대비하여 코어뱅킹DB 성능 개선 작업을 수행하는 과정에서 데이터베이스 관련 시스템 프로그램을 변경하였으나, ◦로그의 중복 생성으로 로그 테이블에 로그가 저장되지 않는 장애를 예방하는 기본키*가 잘못 생성되도록 작성한 프로그램을 충분한 무결성 테스트를 실시하지 않고 운영시스템에 적용하였고 * 데이터베이스에 기록되는 정보를 식별하기 위한 고유값으로 동일한 값이 중복으로 입력되는 경우 무결성 제약조건을 위배하는 오류가 발생하여 전자금융거래의 정상적인 처리가 불가함 ◦동 시스템프로그램 적용 후 코어뱅킹DB 로그 테이블의 유효성 검증 실패 장애가 발생하여 2022.9.7. 00:00분부터 01:58분까지(118분) 단순 조회 외 전자금융업무가 중단되는 사고가 발생한 사실이 있다. ※ ㈜신한은행은 2022.9.7. 오류 작성된 로그테이블의 기본키를 정상적으로 재생성할 수 있도록 변경하여 적용 조치하고, ㉯ 등 중요 데이터베이스(Database) 객체에 변경이 발생하는 경우 거래 테스트를 반드시 실시하도록 업무처리 방식을 개선하였음