FSS SANCTION · 3906
한국산업은행 검사결과제재 (2015-06-08)
금융감독원 · 2015-06-08 · 금융감독원 제재
핵심 정리
공식 원문 구조화 · 문장 임의 생성 없음
제재조치
임원 · 주의상당 1명
직원 · 견책(상당) 5명, 주의(상당)5명 및 조치의뢰
주요 위반사항
1.
확인된 위반 사실 문책사항
1.
법인 고객의 신용정보에 대한 안전성 보호조치 부적정 금융회사의 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보전산시스템을 안전하게 보호할 수 있도록 관계법령, 내부통제기준 등 관련법규를 준수하여야 하는데도
◦
2006.9.8.〜2014.6.9. 기간중 한국산업은행은 ◎◎◎◎시스템의 유지보수 및 업그레이드 업무를 수행하면서 다음과 같이 이용자정보 미변환 등 관련법규를 위반함으로써 최소 52,896건 〜 최대 1,489,425건의 법인 신용정보가 수록된 전산원장(이하 ‘◉◉◉◉◉ DB‘라 함)을 총 26회에 걸쳐 역외 ▦▦▦▦사에 제공하는 결과를 초래케 하였음 고객식별번호 : 업체(4자리) + 국가(2자리) + 도시(2자리) 파생금융상품 거래정보 : 상품명, 계약일, 계약효력일, 계약금액, 인도방법, 인도일, Buy/Sell, Call/Put, 옵션만기일/행사일, 행사가격, 행사일자, 결제일, 결제금액 등 ◎◎◎◎ Southeast Asia PTE Ltd : 싱가폴 소재 ◎◎◎◎ 아시아지역담당본부 ⑴ 전산업무 외부주문시 보안성검토 미실시 금융회사는 전산개발 등을 위한 외부주문의 경우에는 자체 보안성검토를 실시하고, 다량의 고객정보를 보유‧관리하는 정보시스템의 신규개발, 도입과 변경 등 보안성검토가 필요한 경우에는 보안관리자에게 관련자료와 함께 보안성검토를 요청하여야 하는데도
◇
◇◇◇부는 2012.8.9.～2014.4.5. 기간중 다량의 법인 신용정보를 보유‧관리하는 ◎◎◎◎시스템의 유지보수 및 업그레이드를 위한 외부주문시 자체 보안성검토를 실시하지 않았고 보안관리자에게 보안성검토를 요청하지도 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제60조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑵ 계약조항 불이행 등 유지보수 업무처리 불철저 금융회사는 정보처리시스템 구축 등과 관련한 계약업무를 수행함에 있어 계약조항을 이행하지 못하는 사유가 발생할 경우에는 검사부서의 승인을 받아야 하는바,
◇
◇◇◇부와 ▲▲▲▲실은 ◎◎◎◎시스템의 유지보수를 위한 계약조항 중 원격접속을 통한 유지보수 조항의 이행이 2007.8.29.부터 사실상 불가능하게 되었는데도 검사부서의 승인을 받지 않았으며, 2006.9.8. 체결한 유지보수계약서에 의하면 ◎◎◎◎시스템의 유지보수는 ▦▦▦▦사의 현장방문 또는 원격지원에 의해 이루어지게 되어 있으나, 2007.8.29.부터 재경부가 ‘원격근무 및 PC보안관리 강화대책’을 마련하고 국정원이 이에 대한 통제를 강화함에 따라 동 시점부터는 원격접속을 통한 유지보수가 사실상 금지됨 2009.6.30.부터 이번 검사착수일(2014.9.15.) 현재까지 계약조항에 없는 FTP 전송방식을 통해 대량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 ▦▦▦▦사에 제공하는 등 ◎◎◎◎시스템의 유지보수업무를 부적절하게 처리하였음 FTP(File Transfer Protocol) : 인터넷을 통해 파일을 전송하는 방식을 일컫는 표준규약 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제21조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑶ 이용자정보 미변환 등 전산자료 보호대책 불이행 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 사용을 금지하되 부득이 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하여야 하는데도 ◐◐◐◐실은 2006.11.10.～2014.4.5. 기간중 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 총 26회에 걸쳐 ▦▦▦▦사에 제공하면서 이용자정보를 변환하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제13조
3.
한국산업은행 ｢IT업무지침｣ 제61조 ⑷ 작업기록 미보존 등 서버관리 및 운영업무 불철저 금융회사는 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중 확인을 하여야 하고, 데이터베이스에 직접 접근하여 중요원장을 조회‧수정‧삭제‧삽입하는 경우 작업내용 등을 5년간 기록‧보존하여야 하는바, ㈎ 2006.11.10.〜2014.4.5. 기간중 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자는 외주 상주용역직원이 동 서버로부터 ◉◉◉◉◉ DB를 여러 번에 걸쳐 덤프(dump)로 내려 받는 등의 중요작업을 수행하고 있었는데도 이에 대한 이중 확인을 하지 않았고 관련 작업내용 등을 기록‧보존하지도 않았음 데이터베이스의 구조 및 원본 전산자료를 파일 형태로 일괄적으로 내려 받는 전산작업 ㈏ 최고정보관리책임자(CIO)는 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자가 외주 상주용역직원의 중요작업 수행업무에 대한 이중 확인을 하지 않는 것을 알면서도 이에 대한 적절한 시정조치를 취하지 않았음 IT본부 본부장(CISO : 정보보호최고책임자)이 겸임 ◎◎◎◎시스템의 ◉◉◉◉◉운영DB를 덤프로 내려 받고 이용자정보 변환 없이 개발 DB서버로 복사 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제27조, 제28조
3.
한국산업은행 ｢IT업무지침｣ 제98조 ⑸ 정보보호최고책임자의 정보보호 점검업무 불철저 정보보호최고책임자(CISO)는 금융회사 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치 등 정보기술부문 보안에 대한 관리‧감독 총괄업무를 수행하여야 하는바, 2012.7.27. 이후 정보보호최고책임자는 금융전산실에서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 장기간에 걸쳐 이용자정보 변환 없이 자체 원격접속시스템이 아닌 보안이 취약한 FTP를 통해 역외 외주업체에 제공하고 있었는데도 이에 대한 보안실태를 점검하거나 적절한 보안대책을 마련하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조의2
2.
한국산업은행 ｢정보시스템세칙｣ 제17조 ⑹ 준법감시 관련 점검업무 소홀 각 단위조직의 장은 소관업무 및 소관조직에 대하여 업무의 중요도 및 위험도를 감안하여 내부통제기준의 준수여부에 대한 점검기준을 설정하고, 소관조직 내 직원의 법규준수 여부를 주기적으로 점검하여야 하는바, ▣▣▣▣부 및 ◐◐◐◐실은 준법감시활동보고서의 점검항목인 ‘고객정보의 제공 및 관리준수‘의 적정성 여부를 총 4회에 걸쳐 점검하면서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB가 이용자정보 변환 없이 역외 외주업체에 제공되고 있었는데도 준법감시인에게’특이사항 없음‘으로 보고하는 등 준법감시 관련 점검업무를 소홀히 하였음 2014.1월, 2014.2월, 2014.3월, 2014.4월 준법감시활동보고서 < 관련법규 >
1.
｢은행법｣ 제23조의3
2.
｢은행법시행령｣ 제17조의2
3.
한국산업은행 ｢내부통제규정｣ 제5조, 제17조, 제19조 ⑺ 신용정보관리‧보호인의 소관업무 소홀 신용정보관리·보호인은 신용정보 관리‧보호 관련 내규의 제‧개정 업무가 소관사항으로 되어 있고, 임직원이 신용정보관리‧보호 관련 법령 등을 준수하고 있는지를 점검‧교육하여야 하는바, ㈎ 신용정보관리‧보호인(수석부행장)은 자신의 소관사항인 신용정보관리‧보호 관련 내규의 제‧개정 업무를 2009.12.30.～2014.8.7. 기간중 리스크관리본부장(또는 리스크관리부장)이 전결로 처리하고 있었는데도 이에 대한 적절한 조치를 취하지 않았음 ㈏ 준법감시인은 2009.12.30. 신용정보관리‧보호인으로부터 신용정보관리‧보호 관련 내규 등의 준수여부 점검 및 교육업무를 위임받고 개인신용정보 관련 점검 및 교육은 실시하였으나 법인신용정보에 대한 점검 및 교육을 실시하지 않았음 은행내규「신용정보관리‧보호지침」제5조 및 제6조에서 신용정보관리‧보호인의 소관업무 중 점검‧교육업무를 준법감시인에게 수행토록 위임하였음 < 관련법규 >
1.
｢신용정보의이용및보호에관한법률｣ 제19조, 제20조
2.
｢신용정보의이용및보호에관한법률시행령｣ 제16조, 제17조
3.
｢신용정보업감독규정｣ 제20조[별표3], 제22조
4.
한국산업은행 ｢신용정보관리·보호지침｣ 제5조, 제6조
위반사항 1 · 법적 기준
1.
법인 고객의 신용정보에 대한 안전성 보호조치 부적정 금융회사의 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보전산시스템을 안전하게 보호할 수 있도록 관계법령, 내부통제기준 등 관련법규를 준수 하여야 함
위반사항 1 · 확인된 위반 사실
문책사항
1.
법인 고객의 신용정보에 대한 안전성 보호조치 부적정 금융회사의 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보전산시스템을 안전하게 보호할 수 있도록 관계법령, 내부통제기준 등 관련법규를 준수하여야 하는데도
◦
2006.9.8.〜2014.6.9. 기간중 한국산업은행은 ◎◎◎◎시스템의 유지보수 및 업그레이드 업무를 수행하면서 다음과 같이 이용자정보 미변환 등 관련법규를 위반함으로써 최소 52,896건 〜 최대 1,489,425건의 법인 신용정보*가 수록된 전산원장(이하 ‘◉◉◉◉◉ DB‘라 함)을 총 26회에 걸쳐 역외 ▦▦▦▦사**에 제공하는 결과를 초래케 하였음 * 고객식별번호 : 업체(4자리) + 국가(2자리) + 도시(2자리) 파생금융상품 거래정보 : 상품명, 계약일, 계약효력일, 계약금액, 인도방법, 인도일, Buy/Sell, Call/Put, 옵션만기일/행사일, 행사가격, 행사일자, 결제일, 결제금액 등 ** ◎◎◎◎ Southeast Asia PTE Ltd : 싱가폴 소재 ◎◎◎◎ 아시아지역담당본부 ⑴ 전산업무 외부주문시 보안성검토 미실시 금융회사는 전산개발 등을 위한 외부주문의 경우에는 자체 보안성검토를 실시하고, 다량의 고객정보를 보유‧관리하는 정보시스템의 신규개발, 도입과 변경 등 보안성검토가 필요한 경우에는 보안관리자에게 관련자료와 함께 보안성검토를 요청하여야 하는데도
◇
◇◇◇부는 2012.8.9.～2014.4.5. 기간중 다량의 법인 신용정보를 보유‧관리하는 ◎◎◎◎시스템의 유지보수 및 업그레이드를 위한 외부주문시 자체 보안성검토를 실시하지 않았고 보안관리자에게 보안성검토를 요청하지도 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제60조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑵ 계약조항 불이행 등 유지보수 업무처리 불철저 금융회사는 정보처리시스템 구축 등과 관련한 계약업무를 수행함에 있어 계약조항을 이행하지 못하는 사유가 발생할 경우에는 검사부서의 승인을 받아야 하는바,
◇
◇◇◇부와 ▲▲▲▲실은 ◎◎◎◎시스템의 유지보수를 위한 계약조항 중 원격접속을 통한 유지보수 조항의 이행이 2007.8.29.부터 사실상 불가능*하게 되었는데도 검사부서의 승인을 받지 않았으며, * 2006.9.8. 체결한 유지보수계약서에 의하면 ◎◎◎◎시스템의 유지보수는 ▦▦▦▦사의 현장방문 또는 원격지원에 의해 이루어지게 되어 있으나, 2007.8.29.부터 재경부가 ‘원격근무 및 PC보안관리 강화대책’을 마련하고 국정원이 이에 대한 통제를 강화함에 따라 동 시점부터는 원격접속을 통한 유지보수가 사실상 금지됨 2009.6.30.부터 이번 검사착수일(2014.9.15.) 현재까지 계약조항에 없는 FTP* 전송방식을 통해 대량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 ▦▦▦▦사에 제공하는 등 ◎◎◎◎시스템의 유지보수업무를 부적절하게 처리하였음 * FTP(File Transfer Protocol) : 인터넷을 통해 파일을 전송하는 방식을 일컫는 표준규약 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제21조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑶ 이용자정보 미변환 등 전산자료 보호대책 불이행 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 사용을 금지하되 부득이 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하여야 하는데도 ◐◐◐◐실은 2006.11.10.～2014.4.5. 기간중 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 총 26회에 걸쳐 ▦▦▦▦사에 제공하면서 이용자정보를 변환하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제13조
3.
한국산업은행 ｢IT업무지침｣ 제61조 ⑷ 작업기록 미보존 등 서버관리 및 운영업무 불철저 금융회사는 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중 확인을 하여야 하고, 데이터베이스에 직접 접근하여 중요원장을 조회‧수정‧삭제‧삽입하는 경우 작업내용 등을 5년간 기록‧보존하여야 하는바, ㈎ 2006.11.10.〜2014.4.5. 기간중 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자는 외주 상주용역직원이 동 서버로부터 ◉◉◉◉◉ DB를 여러 번에 걸쳐 덤프(dump*)로 내려 받는 등의 중요작업을 수행하고 있었는데도 이에 대한 이중 확인을 하지 않았고 관련 작업내용 등을 기록‧보존하지도 않았음 * 데이터베이스의 구조 및 원본 전산자료를 파일 형태로 일괄적으로 내려 받는 전산작업 ㈏ 최고정보관리책임자(CIO)*는 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자가 외주 상주용역직원의 중요작업** 수행업무에 대한 이중 확인을 하지 않는 것을 알면서도 이에 대한 적절한 시정조치를 취하지 않았음 * IT본부 본부장(CISO : 정보보호최고책임자)이 겸임 ** ◎◎◎◎시스템의 ◉◉◉◉◉운영DB를 덤프로 내려 받고 이용자정보 변환 없이 개발 DB서버로 복사 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제27조, 제28조
3.
한국산업은행 ｢IT업무지침｣ 제98조 ⑸ 정보보호최고책임자의 정보보호 점검업무 불철저 정보보호최고책임자(CISO)는 금융회사 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치 등 정보기술부문 보안에 대한 관리‧감독 총괄업무를 수행하여야 하는바, 2012.7.27. 이후 정보보호최고책임자는 금융전산실에서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 장기간에 걸쳐 이용자정보 변환 없이 자체 원격접속시스템이 아닌 보안이 취약한 FTP를 통해 역외 외주업체에 제공하고 있었는데도 이에 대한 보안실태를 점검하거나 적절한 보안대책을 마련하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조의2
2.
한국산업은행 ｢정보시스템세칙｣ 제17조 ⑹ 준법감시 관련 점검업무 소홀 각 단위조직의 장은 소관업무 및 소관조직에 대하여 업무의 중요도 및 위험도를 감안하여 내부통제기준의 준수여부에 대한 점검기준을 설정하고, 소관조직 내 직원의 법규준수 여부를 주기적으로 점검하여야 하는바, ▣▣▣▣부 및 ◐◐◐◐실은 준법감시활동보고서의 점검항목인 ‘고객정보의 제공 및 관리준수‘의 적정성 여부를 총 4회*에 걸쳐 점검하면서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB가 이용자정보 변환 없이 역외 외주업체에 제공되고 있었는데도 준법감시인에게’특이사항 없음‘으로 보고하는 등 준법감시 관련 점검업무를 소홀히 하였음 * 2014.1월, 2014.2월, 2014.3월, 2014.4월 준법감시활동보고서 < 관련법규 >
1.
｢은행법｣ 제23조의3
2.
｢은행법시행령｣ 제17조의2
3.
한국산업은행 ｢내부통제규정｣ 제5조, 제17조, 제19조 ⑺ 신용정보관리‧보호인의 소관업무 소홀 신용정보관리·보호인은 신용정보 관리‧보호 관련 내규의 제‧개정 업무가 소관사항으로 되어 있고, 임직원이 신용정보관리‧보호 관련 법령 등을 준수하고 있는지를 점검‧교육하여야 하는바, ㈎ 신용정보관리‧보호인(수석부행장)은 자신의 소관사항인 신용정보관리‧보호 관련 내규의 제‧개정 업무를 2009.12.30.～2014.8.7. 기간중 리스크관리본부장(또는 리스크관리부장)이 전결로 처리하고 있었는데도 이에 대한 적절한 조치를 취하지 않았음 ㈏ 준법감시인은 2009.12.30. 신용정보관리‧보호인으로부터 신용정보관리‧보호 관련 내규 등의 준수여부 점검 및 교육업무를 위임*받고 개인신용정보 관련 점검 및 교육은 실시하였으나 법인신용정보에 대한 점검 및 교육을 실시하지 않았음 * 은행내규「신용정보관리‧보호지침」제5조 및 제6조에서 신용정보관리‧보호인의 소관업무 중 점검‧교육업무를 준법감시인에게 수행토록 위임하였음 < 관련법규 >
1.
｢신용정보의이용및보호에관한법률｣ 제19조, 제20조
2.
｢신용정보의이용및보호에관한법률시행령｣ 제16조, 제17조
3.
｢신용정보업감독규정｣ 제20조[별표3], 제22조
4.
한국산업은행 ｢신용정보관리·보호지침｣ 제5조, 제6조
위반사항 1 관련 규정
｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제60조 ｢IT업무지침｣ 제11조, 제12조, 제13조 ｢전자금융감독규정｣ 제21조 ｢전자금융감독규정｣ 제13조 ｢IT업무지침｣ 제61조 ｢전자금융감독규정｣ 제27조, 제28조 ｢IT업무지침｣ 제98조 ｢전자금융거래법｣ 제21조의2 ｢정보시스템세칙｣ 제17조 ｢은행법｣ 제23조의3 ｢은행법시행령｣ 제17조의2
공식 원문 전체 보기
제재내용 공개안
1.
금융회사명 : 한국산업은행
2.
제재조치일 : 2015.6.8.
3.
제재조치내용
4.
제재대상사실
가.
문책사항
1.
법인 고객의 신용정보에 대한 안전성 보호조치 부적정 금융회사의 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보전산시스템을 안전하게 보호할 수 있도록 관계법령, 내부통제기준 등 관련법규를 준수하여야 하는데도
◦
2006.9.8.〜2014.6.9. 기간중 한국산업은행은 ◎◎◎◎시스템의 유지보수 및 업그레이드 업무를 수행하면서 다음과 같이 이용자정보 미변환 등 관련법규를 위반함으로써 최소 52,896건 〜 최대 1,489,425건의 법인 신용정보*가 수록된 전산원장(이하 ‘◉◉◉◉◉ DB‘라 함)을 총 26회에 걸쳐 역외 ▦▦▦▦사**에 제공하는 결과를 초래케 하였음 * 고객식별번호 : 업체(4자리) + 국가(2자리) + 도시(2자리) 파생금융상품 거래정보 : 상품명, 계약일, 계약효력일, 계약금액, 인도방법, 인도일, Buy/Sell, Call/Put, 옵션만기일/행사일, 행사가격, 행사일자, 결제일, 결제금액 등 ** ◎◎◎◎ Southeast Asia PTE Ltd : 싱가폴 소재 ◎◎◎◎ 아시아지역담당본부 ⑴ 전산업무 외부주문시 보안성검토 미실시 금융회사는 전산개발 등을 위한 외부주문의 경우에는 자체 보안성검토를 실시하고, 다량의 고객정보를 보유‧관리하는 정보시스템의 신규개발, 도입과 변경 등 보안성검토가 필요한 경우에는 보안관리자에게 관련자료와 함께 보안성검토를 요청하여야 하는데도
◇
◇◇◇부는 2012.8.9.～2014.4.5. 기간중 다량의 법인 신용정보를 보유‧관리하는 ◎◎◎◎시스템의 유지보수 및 업그레이드를 위한 외부주문시 자체 보안성검토를 실시하지 않았고 보안관리자에게 보안성검토를 요청하지도 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제60조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑵ 계약조항 불이행 등 유지보수 업무처리 불철저 금융회사는 정보처리시스템 구축 등과 관련한 계약업무를 수행함에 있어 계약조항을 이행하지 못하는 사유가 발생할 경우에는 검사부서의 승인을 받아야 하는바,
◇
◇◇◇부와 ▲▲▲▲실은 ◎◎◎◎시스템의 유지보수를 위한 계약조항 중 원격접속을 통한 유지보수 조항의 이행이 2007.8.29.부터 사실상 불가능*하게 되었는데도 검사부서의 승인을 받지 않았으며, * 2006.9.8. 체결한 유지보수계약서에 의하면 ◎◎◎◎시스템의 유지보수는 ▦▦▦▦사의 현장방문 또는 원격지원에 의해 이루어지게 되어 있으나, 2007.8.29.부터 재경부가 ‘원격근무 및 PC보안관리 강화대책’을 마련하고 국정원이 이에 대한 통제를 강화함에 따라 동 시점부터는 원격접속을 통한 유지보수가 사실상 금지됨 2009.6.30.부터 이번 검사착수일(2014.9.15.) 현재까지 계약조항에 없는 FTP* 전송방식을 통해 대량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 ▦▦▦▦사에 제공하는 등 ◎◎◎◎시스템의 유지보수업무를 부적절하게 처리하였음 * FTP(File Transfer Protocol) : 인터넷을 통해 파일을 전송하는 방식을 일컫는 표준규약 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제21조
3.
한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조 ⑶ 이용자정보 미변환 등 전산자료 보호대책 불이행 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 사용을 금지하되 부득이 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하여야 하는데도 ◐◐◐◐실은 2006.11.10.～2014.4.5. 기간중 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 총 26회에 걸쳐 ▦▦▦▦사에 제공하면서 이용자정보를 변환하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제13조
3.
한국산업은행 ｢IT업무지침｣ 제61조 ⑷ 작업기록 미보존 등 서버관리 및 운영업무 불철저 금융회사는 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중 확인을 하여야 하고, 데이터베이스에 직접 접근하여 중요원장을 조회‧수정‧삭제‧삽입하는 경우 작업내용 등을 5년간 기록‧보존하여야 하는바, ㈎ 2006.11.10.〜2014.4.5. 기간중 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자는 외주 상주용역직원이 동 서버로부터 ◉◉◉◉◉ DB를 여러 번에 걸쳐 덤프(dump*)로 내려 받는 등의 중요작업을 수행하고 있었는데도 이에 대한 이중 확인을 하지 않았고 관련 작업내용 등을 기록‧보존하지도 않았음 * 데이터베이스의 구조 및 원본 전산자료를 파일 형태로 일괄적으로 내려 받는 전산작업 ㈏ 최고정보관리책임자(CIO)*는 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자가 외주 상주용역직원의 중요작업** 수행업무에 대한 이중 확인을 하지 않는 것을 알면서도 이에 대한 적절한 시정조치를 취하지 않았음 * IT본부 본부장(CISO : 정보보호최고책임자)이 겸임 ** ◎◎◎◎시스템의 ◉◉◉◉◉운영DB를 덤프로 내려 받고 이용자정보 변환 없이 개발 DB서버로 복사 < 관련법규 >
1.
｢전자금융거래법｣ 제21조
2.
｢전자금융감독규정｣ 제27조, 제28조
3.
한국산업은행 ｢IT업무지침｣ 제98조 ⑸ 정보보호최고책임자의 정보보호 점검업무 불철저 정보보호최고책임자(CISO)는 금융회사 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치 등 정보기술부문 보안에 대한 관리‧감독 총괄업무를 수행하여야 하는바, 2012.7.27. 이후 정보보호최고책임자는 금융전산실에서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 장기간에 걸쳐 이용자정보 변환 없이 자체 원격접속시스템이 아닌 보안이 취약한 FTP를 통해 역외 외주업체에 제공하고 있었는데도 이에 대한 보안실태를 점검하거나 적절한 보안대책을 마련하지 않았음 < 관련법규 >
1.
｢전자금융거래법｣ 제21조의2
2.
한국산업은행 ｢정보시스템세칙｣ 제17조 ⑹ 준법감시 관련 점검업무 소홀 각 단위조직의 장은 소관업무 및 소관조직에 대하여 업무의 중요도 및 위험도를 감안하여 내부통제기준의 준수여부에 대한 점검기준을 설정하고, 소관조직 내 직원의 법규준수 여부를 주기적으로 점검하여야 하는바, ▣▣▣▣부 및 ◐◐◐◐실은 준법감시활동보고서의 점검항목인 ‘고객정보의 제공 및 관리준수‘의 적정성 여부를 총 4회*에 걸쳐 점검하면서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB가 이용자정보 변환 없이 역외 외주업체에 제공되고 있었는데도 준법감시인에게’특이사항 없음‘으로 보고하는 등 준법감시 관련 점검업무를 소홀히 하였음 * 2014.1월, 2014.2월, 2014.3월, 2014.4월 준법감시활동보고서 < 관련법규 >
1.
｢은행법｣ 제23조의3
2.
｢은행법시행령｣ 제17조의2
3.
한국산업은행 ｢내부통제규정｣ 제5조, 제17조, 제19조 ⑺ 신용정보관리‧보호인의 소관업무 소홀 신용정보관리·보호인은 신용정보 관리‧보호 관련 내규의 제‧개정 업무가 소관사항으로 되어 있고, 임직원이 신용정보관리‧보호 관련 법령 등을 준수하고 있는지를 점검‧교육하여야 하는바, ㈎ 신용정보관리‧보호인(수석부행장)은 자신의 소관사항인 신용정보관리‧보호 관련 내규의 제‧개정 업무를 2009.12.30.～2014.8.7. 기간중 리스크관리본부장(또는 리스크관리부장)이 전결로 처리하고 있었는데도 이에 대한 적절한 조치를 취하지 않았음 ㈏ 준법감시인은 2009.12.30. 신용정보관리‧보호인으로부터 신용정보관리‧보호 관련 내규 등의 준수여부 점검 및 교육업무를 위임*받고 개인신용정보 관련 점검 및 교육은 실시하였으나 법인신용정보에 대한 점검 및 교육을 실시하지 않았음 * 은행내규「신용정보관리‧보호지침」제5조 및 제6조에서 신용정보관리‧보호인의 소관업무 중 점검‧교육업무를 준법감시인에게 수행토록 위임하였음 < 관련법규 >
1.
｢신용정보의이용및보호에관한법률｣ 제19조, 제20조
2.
｢신용정보의이용및보호에관한법률시행령｣ 제16조, 제17조
3.
｢신용정보업감독규정｣ 제20조[별표3], 제22조
4.
한국산업은행 ｢신용정보관리·보호지침｣ 제5조, 제6조
문서 기준 관련 조문·시행본
문서의 판단 기준일에 맞춘 시행본입니다. 현행 조문은 별도 링크에서 대조하세요.
공식 원문·첨부
법적 효력과 최종 내용은 발행기관 원문으로 확인하세요.