상호저축은행중앙회 검사결과제재 (2018-12-12)

전자금융거래의 안전성 확보의무 위반 ㈎ 비상대책 등의 수립 운용의무 위반

재해복구센터 미구축 전자금융거래법 제21조제2항, 전자금융감독규정 제7조, 제23조제8항에 의하면 금융회사는 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 업무 지속성을 확보할 수 있도록 적정 규모 인력을 구비한 재해복구센터를 구축 운용 하여야 하는데도 차세대시스템 구축 프로젝트를 추진하면서 차세대시스템 개시 시점부터 계정계 대외계 업무 등 핵심업무에 대하여 주전산센터 마비 시 업무지속성을 확보할 수 있도록 적정 규모의 재해복구센터를 구축 운용하지 않은 사실이 있음

업무지속성 확보대책 유지 관리 미이행 전자금융거래법 제21조제2항, 전자금융감독규정 제7조, 제23조제3항 및 제9항에 의하면 금융회사 등은 업무별로 업무지속성 확보의 중요도를 분석하여 복구목표 시간을 3시간 이내로 하는 핵심업무를 선정하여야 하며, 장애·재해·파업·테러 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 업무지속성 확보대책의 실효성 적정성 등을 매년 1회 이상 점검하여 최신상태로 유지 관리하여야 하는데도, 업무별 업무지속성 확보의 중요도 분석을 실시하지 않고 핵심업무를 선정하였고, 업무지속성 확보대책의 실효성 적정성 등을 매년 1회 이상 점검하지 아니하여 최신 상태로 유지 관리하지 않았음 ㈏ 정보처리시스템 직접 접속 단말기에 대한 망분리 불철저 전자금융거래법 제21조제2항 및 전자금융감독규정 제7조, 제15조제1항제5호에 의하면 금융회사 등은 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신 망으로부터 물리적으로 분리하여야 하고, 다만 업무 특성상 분리하기 어렵다고 금융 감독원장이 인정하는 경우에는 이를 분리하지 않을 수 있으나, 내부 업무용 단말기(O대)에서 특정 금융기관의 금융서비스 이용을 위해 망분리 적용 예외를 적용하여 외부통신망 접속을 허용하면서도, 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기(이하 “IT단말기”)와 내부 업무용 단말기의 연결 구간을 방화벽 등 네트워크 장비로 차단하지 아니하여 외부로부터의 악성코드 유입 경로가 존재하는 등 IT단말기에 대한 물리적 망분리를 철저하게 적용하지 않았음 < 관련규정 >