상호저축은행중앙회 검사결과제재 (2016-04-21)

전자금융거래 재해복구시스템 구축 미흡 OOO에 대하여는 재해복구시스템을 구축․운영하고 있으나 외부업체에 OOO방식으로 위탁․운영하고 있는 OOO 접속채널부문은 재해복구시스템이 구축되어 있지 않아 외부업체의 OOO서비스가 마비될 경우 전자금융거래 중단으로 고객의 불편을 초래할 수 있으므로 외부에 위탁·운영 중인 OOO 접속채널부문에 대해 재해복구시스템을 추가로 구축·운영할 필요

외부 위탁·운영시스템 관리체계 불합리 홈페이지․이메일․OOO 관리시스템 등을 외주업체에 위탁․운영하면서 OOO팀 등 일반부서에서 동 시스템 운영 및 보안통제 등 모든 업무를 담당하고 있어 정보보안 등 IT부문에 대한 통제 및 점검이 미흡할 수 있으므로 앞으로 외주업체에 위탁․운영중인 전산시스템의 보안통제 등 IT부문에 관한 사항은 전문성이 있는 IT부서에서 담당하도록 하는 등 관리체계를 개선할 필요

인터넷 및 모바일뱅킹 관련 보안대책 불합리 (가) 고객에게 배포되는 보안프로그램을 OOO 보관․배포하고 있어 해킹 등에 의해 악성코드가 고객PC로 삽입․배포될 우려가 있으므로 고객 PC에 배포되는 보안프로그램 및 실행파일을 OOO 내 내부 서버에 보관토록 하는 등 배포프로그램에 대한 보안을 강화할 필요 (나) 소산 주기를 OO으로 정하고 있어 외주업체의 전산센터에 화재 등 재해가 발생하는 경우 동 자료를 소실할 우려가 있으므로 외주업체에 보관하는 소스프로그램 및 전자서명자료 등 중요 전산자료의 소산주기를 단축할 필요 (다) 매월 접속제한 대상이 되는 전자금융거래 장기 미사용자에게 SMS문자 등을 통해 접속제한 조치에 대해 사전 통지할 수 있도록 관련 절차를 마련할 필요

OOO 및 OOO시스템 보안대책 불합리 OOO 및 OOO 시스템과 이용자 간의 OOO에 암호화 기능을 적용하고, OO 서버에 개인식별정보가 포함된 OO 전문 및 첨부파일 저장 시 안전한 알고리즘에 의해 암호화하여 저장할 필요

내부정보 반출에 대한 통제대책 불합리 웹메일 발송 및 외부 게시판 파일 첨부 등을 위하여 내부정보 반출 승인시 OOO단위가 아닌 정보제공자의 OOO 단위로 승인하고 있고 압축 파일에 대해서는 반출 통제가 이루어지지 않아 개인식별정보 등 중요정보가 유출될 위험이 있고 부서장 이상의 경우 본인 승인 후 반출할 수 있음에도 보안USB 반출의 적정성에 대한 사후검증 절차가 없어 개인식별정보 등 중요정보가 무단 반출될 우려가 있으므로 전산자료의 반출의 적정성에 대해 사전 승인시 담당부서장이 반출 신청건별로 이를 확인하고, 반출 자료의 적정성에 대한 사후 점검 체계를 구축하는 등 내부정보 유출방지대책을 강화할 필요

고객정보 보호대책 불합리 OOO서버의 로그파일에 고객의 주민등록번호 등 일부 개인정보가 평문으로 저장되어 있어 해킹 등에 의해 고객정보가 유출될 우려가 있으므로 해당 서버 로그파일에 개인정보를 삭제하고 부득이 필요한 경우 반드시 암호화하여 보관하며, 고객정보가 평문으로 저장되는지 여부를 주기적으로 점검하는 절차를 마련할 필요

재해복구 통합모의훈련 운영 불합리 OO회 실시하는 재해복구 통합모의훈련에 참여하는 저축은행은 총 OO개사 중 OO개사 정도에 불과하여 동 훈련에 장기간 참여하지 않은 저축은행은 재해발생 시 업무미숙으로 적기대응이 곤란해 질 우려가 있으므로 재해복구 통합모의훈련에 참여하는 저축은행 수를 확대하여 운영할 필요