에스비아이저축은행 검사결과제재 (2015-09-02)

정보보호위원회 운영 강화 내규 정보보호정책 및 정보보호지침에 따라 정보보안과 관련된 전략수립 및 중요사항의 승인·조정 등을 위하여 정보보호위원회를 설치·운영하고 있으나 주요 정보보호 대책 및 정보보안 사업에 대한 결정 등 일부 사항에 대해 정보보호 위원회의 심의․의결을 누락하였으므로 앞으로 정보보호위원회가 내규에서 정한 기준 및 절차에 따라 정보보안 관련 주요 사항을 심의·의결하는 등 동 위원회의 실효성을 제고할 필요가 있음

전자금융기반시설 취약점 분석·평가에 대한 사후관리 강화 내규 정보보호지침 등에 따라 전자금융거래의 안전성과 신뢰성을 확보하기 위 하여 전자금융기반시설에 대한 취약점 분석·평가를 매 사업 연도마다 1회(홈페이지는 6개월에 1회) 실시하고 있으나 전자금융기반시설에 대한 취약점 분석·평가 결과에 대한 조치 이행계획과 그 시행 결과 등이 경영진에게 보고되고 있지 않는 등 취약점 분석·평가에 대한 사후관리가 일부 미흡하므로 앞으로 전자금융기반시설에 대한 취약점 분석·평가 결과, 보완조치의 이행계획 및 그 시행결과를 정보보호위원회 및 대표이사에 보고하는 등 취약점 분석․결과에 따 른 사후관리를 철저히 할 필요가 있음

이용자 정보 변환절차 불합리 전산자료 보호 및 유출방지를 위해 전산프로그램 개발 및 테스트 시 주민등록번호, 계좌번호, 이름 등의 이용자 정보를 변환하여 사용하고 있으나 현행 이용자정보 변환절차는 개발 또는 테스트시스템에 원본 데이터를 복사·저장한 다음 이용자 정보를 변환토록 하고 있어 변환절차가 누락되거나 지연될 경우 미변환된 이용자 정보가 개발자에게 노출되어 외부로 유출될 우려가 있으므로 앞으로 전산프로그램 개발 또는 테스트 용도로 이용자 정보를 사용하고자 할 경우 에는 이용자 정보를 먼저 변환한 다음 개발 또는 테스트시스템에 저장될 수 있도록 이용자 정보 변환절차를 개선하시기 바람