SCI평가정보 주식회사 검사결과제재 (2018-10-16)

개인신용정보처리시스템의 접근권한 등 관리 불철저 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 동법 시행령 제16조, ｢신용정보업감독규정｣ 제20조 및 [별표3] 등에 의하면 신용조회회사는 전보 또는 퇴직 등 인사이동이 발생하여 개인신용정보취급자가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경․말소하고, 그 내역을 기록하고 최소 3년간 보관하여야 하며, 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등을 기록․관리하여야 하는데도, 2015.6.20.∼2017.12.8. 기간 중 SCI평가정보는 퇴직 등 인사이동이 발생한 직원 49명에게 부여하였던 개인신용정보처리시스템*의 접근권한을 정당한 사유없이 지연 삭제(최장 14개월)하였고, 고객상담시스템의 접근권한 변경내역을 보관하지 않았으며, * 신용조회시스템, 고객상담시스템 신용조회시스템에서 개인신용정보 1,439건을 출력하면서 대상정보, 목적, 용도 등을 기록하지 않았음

개인신용정보처리시스템 접속기록 별도 보관 미이행 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 동법 시행령 제16조, ｢신용정보업감독규정｣ 제20조 및 [별표3]에 의하면 신용조회회사는 개인신용정보처리시스템의 접속기록을 1년 이상 저장하고 위․변조되지 않도록 별도 저장장치에 백업 보관하여야 하는데도 검사착수일(2017.12.11.) 현재 SCI평가정보는 고객의 개인신용정보 접속기록*을 별도 보관하기 위해 생성한 전산자료(DB테이블)를 삭제하였음 * 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등 개인신용정보 조회기록 ㈏ 개인신용정보 조회의 적정성 점검 소홀 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 동법 시행령 제16조 및 ｢신용정보업 감독규정｣ 제20조 및 [별표3]에 의하면 신용조회회사는 개인신용정보의 조회기록에 대해 주기적으로 그 적정성 여부를 점검하여야 하며 점검결과를 업무에 반영하여야 하는데도, 2015.6.26.∼2017.9.19. 기간중 개인신용정보 조회내역 점검 시 해당업무 관련 직원들이 부모, 형제 등 가족과 동료직원 및 고객 등 28명의 개인신용정보를 전산시스템 테스트 등의 목적으로 조회한 것으로 기재되어 있었음에도 이를 위법행위로 판단하지 않고, 상기 조회행위를 중단시키지 않는 등 개인신용정보 조회기록에 대해 적정성 여부 점검을 소홀히 함에 따라 지속적으로 개인신용정보 부당 조회행위가 발생하는 결과를 초래하였음 ㈐ 신용정보의 보호․조회권한 등에 대한 준법 점검 소홀 및 조사․개선 미실시 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 동법 시행령 제16조, ｢신용정보업감독규정｣ 제20조 및 [별표3] 등에 의하면 신용정보관리․보호인은 개인신용정보 조회권한을 업무별로 차등 부여되도록 하여야 하고, 임직원 및 전속 모집인 등에 대한 신용정보보호 관련 법령 및 규정 준수 여부를 점검하여야 하며 신용정보의 수집․이용․제공․폐기 등 관리 및 보호 실태와 관행에 대해 정기적으로 조사 및 개선을 하여야 하는데도, 신용정보관리․보호인은 2015.6.20.∼2017.12.8. 기간 중 개인신용정보 취급 업무와 무관한 직원 등 5명에게 고객상담시스템의 조회권한이 부당하게 부여되도록 하였고, SCI평가정보가 2015.6.20.~2017.12.8. 기간 중 퇴직 등 인사이동이 발생한 직원 49명에게 부여하였던 개인신용정보처리시스템의 접근권한을 정당한 사유없이 지연 삭제(최장 14개월)하고, 고객상담시스템의 접근권한 변경내역을 보관하지 않았으며,(문책사항⑷.㈎.①) 2015.6.20.∼2017.12.8. 기간 중 해제사유발생일로부터 최장 1년이 경과한 개인의 삭제대상 연체정보 등 9건(신용정보주체 기준)을 정보DB에서 삭제하지 아니하고, 금융회사 등 6개 회원사에 제공(조회 등)되도록 부당하게 보관하도록 운영하였음에도(문책사항⑵) 신용정보보호 관련 법규 준수 여부 점검 및 정보DB에 등록된 신용정보의 수집․이용․제공․폐기 등 관리 및 보호실태와 관행에 대하여 정기적인 조사 및 개선을 소홀히 하였음 < 관련규정 >

정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대한 물리적 망분리 미이행 ｢전자금융거래법｣ 제21조 제2항 및 제21조의2 제4항 제1호, ｢전자금융감독규정｣ 제7조, 제15조제1항제5호에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 2015.1.1.부터 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하는데도 SCI평가정보는 검사착수일(2017.12.11.)까지 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기를 외부통신망으로부터 물리적으로 분리하지 않았으며, 2017.11.12.~12.11. 기간 중* ◫◫◫◫◫실 내 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속한 업무용 단말기 41대 중 8대가 인터넷 사이트에 총 5,633회 접속한 사실이 있음

내부통신망과 연결된 내부 업무용시스템에 대한 망분리 미이행 ｢전자금융거래법｣ 제21조 제2항 및 제21조의2 제4항 제1호, ｢전자금융감독규정｣ 제7조, 제15조 제1항 제3호에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 내부통신망과 연결된 내부 업무용시스템을 인터넷 등 외부통신망과 분리․차단하여야 하는데도 SCI평가정보는 검사착수일(2017.12.11.)까지 본사 내부통신망과 연결된 업무용시스템을 인터넷 등 외부통신망과 분리․차단하지 않았으며, 2017.11.12.~12.11. 기간 중 ▷▷▷▷실 내 업무용시스템으로 사용하는 단말기를 인터넷 등 외부통신망과 분리․차단하지 않아이 중 20대가 인터넷 사이트에 총 4,774,455회 접속한 사실이 있음 ㈐ 전산장비 반출·반입 통제 소홀 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제13조 제1항 제5호에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산장비의 반출․반입을 통제하여야 하며, SCI평가정보는 전산장비의 외부 반출․반입 시 부서장의 승인을 받아야 하고, 각 부서장은 전산장비 반출·입 내역을 “전산단말 반출·입대장”에 기록․관리하도록 정하였는데도 SCI평가정보는 검사착수일(2017.12.11.) 현재 일부 부서를 제외한 대부분의 부서 및 전 지점에서 노트북 등 전산장비 반출․입 내역을 기록․관리하지 않고 있었으며, 2015.6.20.~2017.12.11. 기간 중 임직원의 퇴직․전출․파견 등 인사이동으로 인하여 다수의 단말기가 SCI평가정보 각 부서에서 반출․반입되었음에도 관련 기록 및 증빙을 구비하지 않은 사실이 있는 등 전산장비의 외부 반출․반입에 대한 통제가 소홀함 ㈑ 홈페이지 등 공개용 웹서버 관리 소홀 ｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제17조 제1항 제2호 및 제4호에 의하면 금융회사는 공개용 웹서버에 접근할 수 있는 사용자 계정은 아이디․비밀번호 이외에 추가 인증수단을 적용하여야 하고, DMZ구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니하여야 하는데도 SCI평가정보는 여러 홈페이지를 관리하는데 있어 담당 직원이 사용자 계정으로 접속할 때 아이디․비밀번호만을 사용하고 추가 인증수단을 적용하지 않았으며, 2017.12.19. DMZ구간*에서 운영하는 2개 홈페이지의 웹서버의 거래로그를 점검한 결과 해당 로그에 이름, 전화번호, 주소 등 총 116건의 이용자 정보를 암호화 하지 않고 저장한 사실이 있음 * 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) < 관련규정 >

2017.12.6. 검사반은 검사과정에서 업무내용을 파악하기 위해 SCI평가정보에 확대간부회의, 임원회의, 주간회의 등의 회의자료 제출을 요청하자 ▤▤▤▤실장 대행(이하 “실장 대행”) △△△은 이를 ▷▷▷ 전무에게 보고하였고, 보고 과정에서 ▷▷▷ 전무는 실장 대행 △△△에게 본인의 은행과 카드사 근무 당시의 수검 경험을 말하며 “없는 자료는 제출할 수 없는 것 아니냐”는 취지의 말을 하였으며, 이에 실장 대행 △△△은 동 회의자료가 회사 내규상 보관 의무가 있는 자료가 아니고 자회사 가상통화거래소와 관련한 업무지원 내용이 포함되어 있을 경우 검사반이 겸업 등으로 오해할 수도 있다는 판단하에 ▤▤▤▤실 회의운영 담당 주임(이하 “주임”) ◁◁◁에게 PC에 보관하고 있던 회의자료 중 일부(4건)를 제외한 모든 회의자료와 이메일 발송내역을 삭제하도록 지시하였고, 주임 ◁◁◁은 그 지시에 따라 해당 자료 중 일부 회의자료(4건)를 제외하고 모두 삭제하였음

2017.12.7. 실장 대행 △△△은 검사반이 요청한 자료를 제출하기 전에 삭제하지 않은 위 4건의 회의자료에서도 자회사 가상통화거래소 업무지원과 관련된 내용을 삭제하도록 주임 ◁◁◁에게 지시하였고, 주임 ◁◁◁은 이를 삭제하였으며, ▷▷▷ 전무에게 회의자료 4건(’17.5월, 6월, 8월 및 9월분)만 제출한다는 사실을 보고한 후 조작한 자료를 제출하였음

2017.12.26. 검사반이 임원회의자료, 주간회의자료를 재차 요구하였는데도 2017.12.28. ◇

2018.1.5. 검사반이 2017.12.7. SCI평가정보에서 위 ②와 같이 조작하여 제출한 회의자료의 내용이 회의 개최 시 배포된 자료의 내용과 상이한 점에 대하여 소명을 요청하자 실장 대행 △△△은 ②의 조작하여 제출한 회의자료가 최종자료라고 허위진술*하였고 * 2017.12.7. 기 제출한 자료가 최종본이 아니라는 사실을 인지하고 있었으면서 검사반에게 자료의 버전이 상이할 수 있다고 허위 진술 검사반이 주임 ◁◁◁ PC에서 2017.12.7. 제출한 회의자료(4건)의 최종저장일자를 확인할 수 있는 화면을 캡쳐하여 제출할 것을 요청하자 실장 대행 △△△은 동 자료의 조작사실*을 숨기기 위해 주임 ◁◁◁에게 파일의 최종 수정․저장일자를 조작하여 제출하도록 지시하였으며, * 2017.12.7. 자료제출 직전 자료내용의 일부를 삭제하였으므로 해당 일자에 최종 수정․저장된 것으로 파일 저장일자가 기록되어 있었음 실장 대행 △△△의 지시를 받은 주임 ◁◁◁은 4개 파일의 최종 수정․저장일자를 조작*한 후 동 화면을 캡쳐한 조작자료를 제출하였음 * PC의 현재날짜를 4개 파일 별 확대간부회의 개최시점(‘17.5월,’17.6월, ‘17.8월,’17.9월)으로 수정한 후 저장

위 ① 내지 ③의 행위로 SCI평가정보에서 제출한 검사자료에 대하여 신뢰할 수 없고, 정상적인 검사의 진행이 어려워짐에 따라 2018.1.3. 검사반이 자료유출방지시스템(DLP시스템)에 저장되어 있는 업무용 이메일 송․수신 내역에서 회의자료 등 업무와 관련된 회의자료를 요청*하였는데도 * 2015.6.20.∼2018.1.3. 기간 중 ▤▤▤▤실에서 관련 임직원에게 발송한 업무 관련 회의자료를 검색하여 제출할 것을 요청 2018.1.3. ◇

2018.1.9. 검사반은 개인정보보호법 등 관련 법규의 저촉 소지가 없도록 DLP시스템 등에서 업무와 관련된 자료를 복구․추출하여 제출*할 것을 재차 요청하였는데도 * 업무 관련 자료의 복구․추출시 업무 관련 키워드 또는 관련 담당자에 한하여 검색하되 준법감시실 관련자 입회하에 진행하여 개인정보보호법 등 관련 법규 저촉 소지가 없도록 조치하고 제출할 것을 요구

SCI평가정보는 대부업체 설립 여부에 대해 별도로 검토*하였으며, 2017.12.13. 이후 검사반이 관련 자료를 수차례 요청하였는데도 * 2016.하반기 ‘SCI 대부 설립 검토의 건’, 2016.9.26. 임원회의자료 ‘대부업체 설립 관련 검토’ 실장 대행 △△△은 검토한 자료가 없다고 답변하다가 2017.12.20. 본인 PC에 보관하고 있던 ‘대부업 설립의 건’ 파일을 삭제하였음

SCI평가정보와 별도 법인인 대부업체*에 대하여 SCI평가정보 ◊◊◊◊실 직원이 업무보고서를 작성하고, 동 업체의 설립등기 업무를 처리하면서 관련 비용을 SCI평가정보가 선납 후 사후 정산하였으며, * SCI평가정보의 관계회사로 SCI평가정보의 前 ▤▤▤▤실장 ▱▱▱가 대표이사를 겸직하고 있는 1인 대부업체(□□□□□대부㈜) SCI평가정보 ▨▨실 직원PC에 동 업체의 공인인증서를 보관하면서 총계정원장(조회한 거래내역 등)을 작성하여 회계사에게 전달하고 있었을 뿐만 아니라 SCI평가정보 ▱▱▱▱실장은 본인을 신용정보원(신용정보집중기관)에 동 업체의 신용정보 등록 담당자로 지정․신청한 사실이 있는데도 2018.1.3. 검사반이 SCI평가정보 직원이 동 업체의 업무를 처리한 내역을 요청하자 2018.1.4. ◇