우리은행 검사결과제재 (2025-12-05)

과태료(50백만원) 부과 임 원

퇴직자 위법·부당사항 통보(주의 상당) 1명 직 원

자율처리 필요사항 통보

｢전자금융거래법｣ 제21조 제2항 등에 의하면 금융회사는 전산실 내에 위치한 정보 처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하는 등의 대책을 수립·운용하여야 하고 원격 접속이 필요한 경우에 한해 망분리 규정을 예외 적용하는 경우 금융회사가 자체 위험성 평가를 실시한 후 망분리 대체 정보보호통제를 적용하고 이를 정보 보호위원회가 승인하여야 한다. ◦하지만, ㈜우리은행은 2021.10.1.～2021.12.21. 기간 중 ‘A‘사로 하여금 정보처리 시스템의 개발 목적으로 전산실 내에 위치한 정보처리시스템에 직접 접속하는 단말기(444대)를 이용하여 총 1,629,242회에 걸쳐 외부통신망과 연결된 인터넷사이트에 접속하도록 허용하는 등 망분리 대책을 운용하지 아니한 사실이 있다. ◦또한, 2021.1.1.～2021.12.16. 기간 중 정보처리시스템 개발 업무를 수행하는 ‘A‘사가 ㈜우리은행의 비상대책에 따른 망분리 예외 적용대상에 해당하지 않는 ‘오류 확인’, ‘시스템 작업’ 등의 업무 수행을 위해 외부통신망에서 내부통신망의 정보처리시스템에 원격 접속(242회)하도록 허용하였으며, ◦외부통신망의 인터넷 단말기(총 2대)에서 내부통신망의 보안정책을 관리하는 원격 접속시스템에 직접 접속(1,558회)하도록 허용하는 등 망분리 대책을 운용하지 아니한 사실이 있다. < 관련규정 >

｢전자금융거래법｣ 제21조 제2항 등에 의하면 금융회사는 프로그램을 등록·변경·폐기 하는 경우 그 내용의 정당성에 대해 제3자의 검증을 받는 등 프로그램 통제 절차를 수립·운용하여야 하고 전자금융거래를 위한 외부주문 등의 경우에는 원장 등 중요 데이터 변경을 금지하여야 한다.

하지만, ㈜우리은행은 2018.11.13.～2021.12.30. IT업무 외부주문 업체(‘A‘)에 위탁하여 개발한 프로그램에 대하여 프로그램 등록·변경 시 그 내용의 정당성을 검토하는 제3자 검증절차 등 프로그램 통제 절차를 적정하게 수립·운용하지 아니한 결과 ◦㈜우리은행의 개발의뢰 범위에 포함되지 않은 프로그램 기능(전산원장 변경 기능)*이 총 116개의 통합단말 화면에 적용되어 있었음에도이 사실을 발견하지 못하였고 * 영업점 오입력, 전산오류 발생 시 긴급조치 등의 목적으로 개발한 기능으로 해당 화면의 특정 부분을 클릭하면 데이터 상세 조회, 수정 등이 가능한 화면이 활성화됨

동 외부주문 업체 직원(14명)이 2021.11.1.～2022.1.17. 기간 중 중요데이터에 해당하는 ㈜우리은행 고객 여신신청 및 심사정보가 저장된 전산원장을 총 1,235회에 걸쳐 변경한 사실이 있다. < 관련규정 >