코리안리재보험주식회사 검사결과제재 (2015-08-19)
금융감독원 · 2015-08-19 · 금융감독원 제재
핵심 정리
공식 원문 구조화 · 문장 임의 생성 없음
제재조치
기관 · 과태료 450만원, 개선 4건
직원 · 주의 2명, 퇴직자 위법사실통지 2명, 조치의뢰
주요 위반사항
개인신용정보 보호대책 수립․운용 불철저
개인신용정보 보호대책 수립․운용 불철저 ㈎ 금융회사는 신용정보처리시스템에 대한 접근통제를 위하여 접근권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하는 등 기술적․물리적 보안대책을 마련하여야 하는데도,
2013.1.1.～2014.5.5. 기간 중 개인신용정보가 저장된 신용정보처리시스템에 대한 접근권한 부여, 변경 또는 말소에 대한 내역을 기록·보관토록 하는 보안대책을 마련하지 않았음 ㈏ 금융회사는 개인신용정보를 조회하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리할 수 있는 시스템을 구축하여야 하는데도,
2013.1.1.～2014.5.6. 기간 중 사용한 舊○○시스템에서 개인신용정보를 조회하는 경우 일부 조회화면(74개)을 제외한 나머지 화면(810개)에서 조회자의 신원 등의 조회기록을 관리할 수 있는 시스템을 구축하지 아니하였으며,
2014.5.7.～2014.11.14. 기간 중 사용한 ◆◆◆◆◆시스템에서는 조회자의 신원, 조회일시, 대상정보는 기록․관리하였으나, 조회 목적 및 용도를 기록·관리하지 않는 등 시스템 구축이 미흡하였음 ㈐ ◎◎◎◎․◎◎◎은 임․직원의 신용정보 관리․보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하고, 점검결과를 업무처리 절차에 적절히 반영하여야 하는데도,
회사의 전·현직 ◎◎◎◎․◎◎◎ 4명은 담당 업무를 소홀히 함으로써, 위 ㈎, ㈏ 사항과 관련하여 신용정보처리시스템의 접근권한 부여 등에 대한 기록 보관 및 개인신용정보에 대한 조회 기록을 관리할 수 있는 시스템이 제대로 구축되지 않는 등 회사의 법규 위반을 초래하였음 < 관련법규 > - ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조제1항 - ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조제1항 - ｢신용정보업감독규정｣ 제20조 및 <별표3>
단말기 보호대책 불합리 주요정보 또는 ▲▲▲ 정보가 수록되어 있거나 이를 열람할 수 있는 단말기, ◆◆◆◆시스템 관리용 단말기 등에 대해 중요단말기 지정 기준을 마련하고, 중요단말기에 대해 외부 반출금지, 인터넷 접속 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 백신프로그램의 임의 삭제가 가능하고, 백신프로그램을 미설치한 경우에도 내부망으로의 접속이 가능하도록 운영하고 있으므로,
악성코드 감염을 방지하고, 확산 및 피해를 최소화하기 위한 방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈐ 임․직원 PC 로그인에 대하여 비밀번호 관리정책이 적용되지 않고 있으며, ◎◎◎시스템 로그인에 대해서는 비밀번호 연속 입력 오류시 접속 차단 등의 제한조치를 적용하지 않고 있으므로,
내부사용자의 비밀번호 유출을 방지하지 위해 비밀번호 관리정책을 마련하여 ◆◆◆◆시스템에 반영하는 등 관련 업무를 합리적으로 개선하시기 바람
전산자료 등 보호대책 불합리
전산자료 등 보호대책 불합리 ㈎ 2012.4월 △△△시스템 구축을 위한 외주용역 계약을 체결하여 개발 업무를 진행하면서, 외부 인력의 PC에서 무선접속장비(Access Point, AP), USB테더링 등을 통해 인터넷 우회 접속이 가능하도록 운영하였고,
외부 보험회사 직원에게 내부 ◎◎◎시스템 및 원격접속시스템(SSL-VPN)의 사용자계정을 부여하면서, 사용자계정의 등록·폐기 절차를 마련하여 운영하지 않고 있으므로,
외부 사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치를 갖추고, 사용자계정의 등록·변경·폐기에 대한 체계적인 관리방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 사내 PC에서 생성된 파일에 대해 문서보안시스템(Digital Rights Management, DRM)을 적용하여 암호화하고 있으나, PC가 사내망에 접속하지 않은 상태(오프라인 상태)에서도 암호화 파일을 읽을 수 있도록 운영하고 있어 PC 반출 등의 경우 중요 자료가 유출될 위험이 있으므로 관련 업무를 합리적으로 개선하시기 바람 ㈐ DMZ구간 내에 대용량 파일의 송·수신이 가능한 이메일시스템을 구축·운영하면서 첨부파일에 대한 암호화 등의 보호조치가 이루어지지 않고 있으므로,
이메일을 통한 외부 파일 전송에 대한 통제를 강화하고, DMZ구간 내에 ▲▲▲ 정보 등 주요 정보가 저장되지 않도록 관련 업무를 합리적으로 개선하시기 바람
정보처리시스템 접근통제 불합리 정보처리시스템의 안전한 관리를 위하여 운영체제 계정으로 로그인할 경우 계정 및 비밀번호 이외에 별도의 추가인증 절차를 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 2014.1.1.~2014.10.31. 기간 중 퇴직 등 인사이동으로 ◈◈◈◈시스템에 대한 접근권한 말소 사유가 발생한 임직원 14명에 대하여 사유발생일로부터 3일~31일 경과후 동 접근권한을 지연 말소하였으므로,
전보 또는 퇴직 등 인사이동이 발생하여 개인신용정보취급자가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소하는 등 관련 업무를 합리적으로 개선하시기 바람
정보보호업무 직무 분리 미흡 IT업무에 대한 상호견제 기능이 유지될 수 있도록 정보보호 인력과 인프라 운영 인력의 직무를 분리·운영하는 등 관련 업무를 합리적으로 개선하시기 바람
위반사항 1
개인신용정보 보호대책 수립․운용 불철저
위반사항 1 · 법적 기준
㈎ 금융회사는 신용정보처리시스템에 대한 접근통제를 위하여 접근권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하는 등 기술적․물리적 보안대책을 마련 하여야 함
위반사항 1 · 확인된 사실
개인신용정보 보호대책 수립․운용 불철저 ㈎ 금융회사는 신용정보처리시스템에 대한 접근통제를 위하여 접근권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하는 등 기술적․물리적 보안대책을 마련하여야 하는데도,
2013.1.1.～2014.5.5. 기간 중 개인신용정보가 저장된 신용정보처리시스템에 대한 접근권한 부여, 변경 또는 말소에 대한 내역을 기록·보관토록 하는 보안대책을 마련하지 않았음 ㈏ 금융회사는 개인신용정보를 조회하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리할 수 있는 시스템을 구축하여야 하는데도,
2013.1.1.～2014.5.6. 기간 중 사용한 舊○○시스템에서 개인신용정보를 조회하는 경우 일부 조회화면(74개)을 제외한 나머지 화면(810개)에서 조회자의 신원 등의 조회기록을 관리할 수 있는 시스템을 구축하지 아니하였으며,
2014.5.7.～2014.11.14. 기간 중 사용한 ◆◆◆◆◆시스템에서는 조회자의 신원, 조회일시, 대상정보는 기록․관리하였으나, 조회 목적 및 용도를 기록·관리하지 않는 등 시스템 구축이 미흡하였음 ㈐ ◎◎◎◎․◎◎◎은 임․직원의 신용정보 관리․보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하고, 점검결과를 업무처리 절차에 적절히 반영하여야 하는데도,
회사의 전·현직 ◎◎◎◎․◎◎◎ 4명은 담당 업무를 소홀히 함으로써, 위 ㈎, ㈏ 사항과 관련하여 신용정보처리시스템의 접근권한 부여 등에 대한 기록 보관 및 개인신용정보에 대한 조회 기록을 관리할 수 있는 시스템이 제대로 구축되지 않는 등 회사의 법규 위반을 초래하였음 < 관련법규 > - ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조제1항 - ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조제1항 - ｢신용정보업감독규정｣ 제20조 및 <별표3>
위반사항 1 관련 규정
｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 제1항 ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조, 제1항 ｢신용정보업감독규정｣ 제20조, 별표3
위반사항 2
단말기 보호대책 불합리
위반사항 2 · 법적 기준
㈎ ▲▲▲ 정보 등 중요정보에 직접 접속이 가능한 단말기인데도 중요단말기 지정 여부를 검토하지 않았으며, 중요단말기로 지정된 ◆◆◆◆시스템 관리용 단말기(4대)의 경우에도 외부 인터넷 접속이 가능한 일반PC로의 원격 연결 및 중요정보의 전달이 가능한 상태로 운영하고 있으므로,
위반사항 2 · 확인된 사실
주요정보 또는 ▲▲▲ 정보가 수록되어 있거나 이를 열람할 수 있는 단말기, ◆◆◆◆시스템 관리용 단말기 등에 대해 중요단말기 지정 기준을 마련하고, 중요단말기에 대해 외부 반출금지, 인터넷 접속 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 백신프로그램의 임의 삭제가 가능하고, 백신프로그램을 미설치한 경우에도 내부망으로의 접속이 가능하도록 운영하고 있으므로,
악성코드 감염을 방지하고, 확산 및 피해를 최소화하기 위한 방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈐ 임․직원 PC 로그인에 대하여 비밀번호 관리정책이 적용되지 않고 있으며, ◎◎◎시스템 로그인에 대해서는 비밀번호 연속 입력 오류시 접속 차단 등의 제한조치를 적용하지 않고 있으므로,
내부사용자의 비밀번호 유출을 방지하지 위해 비밀번호 관리정책을 마련하여 ◆◆◆◆시스템에 반영하는 등 관련 업무를 합리적으로 개선하시기 바람
위반사항 3
전산자료 등 보호대책 불합리
위반사항 3 · 법적 기준
㈎ 2012.4월 △△△시스템 구축을 위한 외주용역 계약을 체결하여 개발 업무를 진행하면서, 외부 인력의 PC에서 무선접속장비(Access Point, AP), USB테더링 등을 통해 인터넷 우회 접속이 가능하도록 운영하였고,
위반사항 3 · 확인된 사실
전산자료 등 보호대책 불합리 ㈎ 2012.4월 △△△시스템 구축을 위한 외주용역 계약을 체결하여 개발 업무를 진행하면서, 외부 인력의 PC에서 무선접속장비(Access Point, AP), USB테더링 등을 통해 인터넷 우회 접속이 가능하도록 운영하였고,
외부 보험회사 직원에게 내부 ◎◎◎시스템 및 원격접속시스템(SSL-VPN)의 사용자계정을 부여하면서, 사용자계정의 등록·폐기 절차를 마련하여 운영하지 않고 있으므로,
외부 사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치를 갖추고, 사용자계정의 등록·변경·폐기에 대한 체계적인 관리방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 사내 PC에서 생성된 파일에 대해 문서보안시스템(Digital Rights Management, DRM)을 적용하여 암호화하고 있으나, PC가 사내망에 접속하지 않은 상태(오프라인 상태)에서도 암호화 파일을 읽을 수 있도록 운영하고 있어 PC 반출 등의 경우 중요 자료가 유출될 위험이 있으므로 관련 업무를 합리적으로 개선하시기 바람 ㈐ DMZ구간 내에 대용량 파일의 송·수신이 가능한 이메일시스템을 구축·운영하면서 첨부파일에 대한 암호화 등의 보호조치가 이루어지지 않고 있으므로,
이메일을 통한 외부 파일 전송에 대한 통제를 강화하고, DMZ구간 내에 ▲▲▲ 정보 등 주요 정보가 저장되지 않도록 관련 업무를 합리적으로 개선하시기 바람
위반사항 4
정보처리시스템 접근통제 불합리
위반사항 4 · 법적 기준
㈎ 모든 정보처리시스템에 대해 계정(ID)과 비밀번호만으로 접속이 가능하도록 운영하고 있으므로,
위반사항 4 · 확인된 사실
정보처리시스템의 안전한 관리를 위하여 운영체제 계정으로 로그인할 경우 계정 및 비밀번호 이외에 별도의 추가인증 절차를 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 2014.1.1.~2014.10.31. 기간 중 퇴직 등 인사이동으로 ◈◈◈◈시스템에 대한 접근권한 말소 사유가 발생한 임직원 14명에 대하여 사유발생일로부터 3일~31일 경과후 동 접근권한을 지연 말소하였으므로,
전보 또는 퇴직 등 인사이동이 발생하여 개인신용정보취급자가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소하는 등 관련 업무를 합리적으로 개선하시기 바람
위반사항 5
정보보호업무 직무 분리 미흡
위반사항 5 · 법적 기준
정보시스템부 IT보안과에서 정보보호 업무 및 인프라 운영(서버, 전산시스템실 관리 등) 업무를 모두 수행하고 있으므로,
위반사항 5 · 확인된 사실
IT업무에 대한 상호견제 기능이 유지될 수 있도록 정보보호 인력과 인프라 운영 인력의 직무를 분리·운영하는 등 관련 업무를 합리적으로 개선하시기 바람
공식 원문 전체 보기
금융회사명 : 코리안리재보험㈜
제재조치일 : 2015.8.19.
제재조치내용
제재대상사실
문책 및 조치의뢰 사항
개인신용정보 보호대책 수립․운용 불철저 ㈎ 금융회사는 신용정보처리시스템에 대한 접근통제를 위하여 접근권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하는 등 기술적․물리적 보안대책을 마련하여야 하는데도,
2013.1.1.～2014.5.5. 기간 중 개인신용정보가 저장된 신용정보처리시스템에 대한 접근권한 부여, 변경 또는 말소에 대한 내역을 기록·보관토록 하는 보안대책을 마련하지 않았음 ㈏ 금융회사는 개인신용정보를 조회하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리할 수 있는 시스템을 구축하여야 하는데도,
2013.1.1.～2014.5.6. 기간 중 사용한 舊○○시스템에서 개인신용정보를 조회하는 경우 일부 조회화면(74개)을 제외한 나머지 화면(810개)에서 조회자의 신원 등의 조회기록을 관리할 수 있는 시스템을 구축하지 아니하였으며,
2014.5.7.～2014.11.14. 기간 중 사용한 ◆◆◆◆◆시스템에서는 조회자의 신원, 조회일시, 대상정보는 기록․관리하였으나, 조회 목적 및 용도를 기록·관리하지 않는 등 시스템 구축이 미흡하였음 ㈐ ◎◎◎◎․◎◎◎은 임․직원의 신용정보 관리․보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하고, 점검결과를 업무처리 절차에 적절히 반영하여야 하는데도,
회사의 전·현직 ◎◎◎◎․◎◎◎ 4명은 담당 업무를 소홀히 함으로써, 위 ㈎, ㈏ 사항과 관련하여 신용정보처리시스템의 접근권한 부여 등에 대한 기록 보관 및 개인신용정보에 대한 조회 기록을 관리할 수 있는 시스템이 제대로 구축되지 않는 등 회사의 법규 위반을 초래하였음 < 관련법규 > - ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조제1항 - ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조제1항 - ｢신용정보업감독규정｣ 제20조 및 <별표3>
개선 사항
단말기 보호대책 불합리 ㈎ ▲▲▲ 정보 등 중요정보에 직접 접속이 가능한 단말기인데도 중요단말기 지정 여부를 검토하지 않았으며, 중요단말기로 지정된 ◆◆◆◆시스템 관리용 단말기(4대)의 경우에도 외부 인터넷 접속이 가능한 일반PC로의 원격 연결 및 중요정보의 전달이 가능한 상태로 운영하고 있으므로,
주요정보 또는 ▲▲▲ 정보가 수록되어 있거나 이를 열람할 수 있는 단말기, ◆◆◆◆시스템 관리용 단말기 등에 대해 중요단말기 지정 기준을 마련하고, 중요단말기에 대해 외부 반출금지, 인터넷 접속 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 백신프로그램의 임의 삭제가 가능하고, 백신프로그램을 미설치한 경우에도 내부망으로의 접속이 가능하도록 운영하고 있으므로,
악성코드 감염을 방지하고, 확산 및 피해를 최소화하기 위한 방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈐ 임․직원 PC 로그인에 대하여 비밀번호 관리정책이 적용되지 않고 있으며, ◎◎◎시스템 로그인에 대해서는 비밀번호 연속 입력 오류시 접속 차단 등의 제한조치를 적용하지 않고 있으므로,
내부사용자의 비밀번호 유출을 방지하지 위해 비밀번호 관리정책을 마련하여 ◆◆◆◆시스템에 반영하는 등 관련 업무를 합리적으로 개선하시기 바람
전산자료 등 보호대책 불합리 ㈎ 2012.4월 △△△시스템 구축을 위한 외주용역 계약을 체결하여 개발 업무를 진행하면서, 외부 인력의 PC에서 무선접속장비(Access Point, AP), USB테더링 등을 통해 인터넷 우회 접속이 가능하도록 운영하였고,
외부 보험회사 직원에게 내부 ◎◎◎시스템 및 원격접속시스템(SSL-VPN)의 사용자계정을 부여하면서, 사용자계정의 등록·폐기 절차를 마련하여 운영하지 않고 있으므로,
외부 사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치를 갖추고, 사용자계정의 등록·변경·폐기에 대한 체계적인 관리방안을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 사내 PC에서 생성된 파일에 대해 문서보안시스템(Digital Rights Management, DRM)을 적용하여 암호화하고 있으나, PC가 사내망에 접속하지 않은 상태(오프라인 상태)에서도 암호화 파일을 읽을 수 있도록 운영하고 있어 PC 반출 등의 경우 중요 자료가 유출될 위험이 있으므로 관련 업무를 합리적으로 개선하시기 바람 ㈐ DMZ구간 내에 대용량 파일의 송·수신이 가능한 이메일시스템을 구축·운영하면서 첨부파일에 대한 암호화 등의 보호조치가 이루어지지 않고 있으므로,
이메일을 통한 외부 파일 전송에 대한 통제를 강화하고, DMZ구간 내에 ▲▲▲ 정보 등 주요 정보가 저장되지 않도록 관련 업무를 합리적으로 개선하시기 바람
정보처리시스템 접근통제 불합리 ㈎ 모든 정보처리시스템에 대해 계정(ID)과 비밀번호만으로 접속이 가능하도록 운영하고 있으므로,
정보처리시스템의 안전한 관리를 위하여 운영체제 계정으로 로그인할 경우 계정 및 비밀번호 이외에 별도의 추가인증 절차를 적용하는 등 관련 업무를 합리적으로 개선하시기 바람 ㈏ 2014.1.1.~2014.10.31. 기간 중 퇴직 등 인사이동으로 ◈◈◈◈시스템에 대한 접근권한 말소 사유가 발생한 임직원 14명에 대하여 사유발생일로부터 3일~31일 경과후 동 접근권한을 지연 말소하였으므로,
전보 또는 퇴직 등 인사이동이 발생하여 개인신용정보취급자가 변경되었을 경우 지체 없이 개인신용정보처리시스템의 접근권한을 변경 또는 말소하는 등 관련 업무를 합리적으로 개선하시기 바람
정보보호업무 직무 분리 미흡
정보시스템부 IT보안과에서 정보보호 업무 및 인프라 운영(서버, 전산시스템실 관리 등) 업무를 모두 수행하고 있으므로,
IT업무에 대한 상호견제 기능이 유지될 수 있도록 정보보호 인력과 인프라 운영 인력의 직무를 분리·운영하는 등 관련 업무를 합리적으로 개선하시기 바람
문서 기준 관련 조문·시행본
문서의 판단 기준일에 맞춘 시행본입니다. 현행 조문은 별도 링크에서 대조하세요.
공식 원문·첨부
법적 효력과 최종 내용은 발행기관 원문으로 확인하세요.