미래에셋생명보험주식회사 검사결과제재 (2019-03-08)

｢전자금융거래법｣ 제21조제2항, ｢전자금융감독규정｣ 제7조, 제15조제1항제3호 및 제5호, ｢전자금융감독규정시행세칙｣ 제2조의2제3항에 의하면 금융회사는 내부통신망과 연결된 내부 업무용시스템은 인터넷 등 외부통신망과 분리·차단 및 접속을 금지하여야 하고, 전산실 내에 위치한 정보처리시스템은 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하며, 망분리 적용을 예외로 하기 위해서는 자체 위험성 평가를 실시한 후 망분리 대체 정보보호통제 적용 및 정보보호위원회의 승인을 받아야 하는데도,

미래에셋생명은 2016.12월 내부통신망과 연결된 내부 업무용시스템에 대한 망분리를 실시하면서, 2018.6월말까지 내부 OOOO에서 외부 인터넷망에 위치한 O개 외부 사이트와 접속을 허용한 사실이 있고

2014.12월 전산실 내에 위치한 정보처리시스템에 대한 물리적 망분리를 실시하면서 내부 정보처리시스템인 OOO서버 등 OO대에서 외부 인터넷망에 위치한 외부서버 OO대와 물리적으로 분리하지 않고 연결을 허용하였으며

2017.7.6. 망분리 적용을 예외하기 위하여 정보보호위원회로부터 승인받은 ‘망분리 대체 정보보호통제 방안’ 중에서 ‘PC사용자의 관리자 권한 제거’를 적용하지 아니한 사실이 있음 <관련법규>