아이비케이저축은행 검사결과제재 (2015-05-29)

개인정보파일 관리절차 강화 개인정보의 부당한 외부 유출을 방지하기 위해 문서보안시스템 등을 운영하고 있으나,

계정 및 비밀번호 관리 불철저 전자금융감독규정 제13조 제1항 제14호에 의하면 금융회사는 사용자가 전출· 퇴직 등 인사조치가 있을 때에는 지체 없이 해당 사용자 계정 삭제, 계정 사용 중지 등 정보처리시스템에 대한 접근을 통제하고 동 규정 제32조 제2호 및 제3호에 의하면 내부사용자 비밀번호 유출을 방지하기 위하여 비밀번호 관리정책을 정보처리시스템에 반영하고 비밀번호 보관 시 암호화하여야 하는데도, 다른 부서로 전출된 관리자의 계정을 삭제하지 아니하였고

단말기 보호대책 불철저 전자금융감독규정 제12조 제4호 및 제13조 제1항 제13호에 의하면 금융회사의 모든 단말기에는 사용자의 주요업무 관련 행위에 대하여 접근제어 등 보호대책을 마련하고 단말기에 이용자 정보 등 주요정보를 보관하지 아니하여야 하며 불가피하게 단말기에 보관할 필요가 있는 경우 관리 비밀번호 등을 정하여야 하는데도, ㈜아이비케이저축은행 □□□지점은 총 ◎대의 단말기 중 ◯대에 단말기 이용자의 허락 없이도 원격접근제어가 가능한 프로그램(◇◇◇)이 설치되어 있었고, 동 ◉대의 단말기에는 이용자 정보 등 주요정보 ◎건을 관리비밀번호 없이 보관하고 있었음 <관련규정> 전자금융감독규정 제12조 제4호, 제13조 제1항 제13호

전산자료 보호대책 불합리

임직원에게 문서암호화 해제 권한이 과도하게 부여되어 있고 승인권한이 있는 임 직원의 경우 제3자의 확인절차 없이 본인문서 암호화를 해제할 수 있도록 운영한 사례가 있었으며, USB 등 보조기억매체는 읽기 권한만을 부여하고, 쓰기 권한의 경우 사용자가 부서장 승인을 받아 사용하고 있으나, 사용 적정성에 대한 제3자의 검증이 없어 전산 자료 유출에 대한 우려가 있으므로 향후 문서암호화 해제·반출 및 USB등 보조기억매체 사용 시 본인 승인을 제한 하고 승인권자를 최소화하여 운영하며, 정기적으로 문서암호화 해제·반출현황 및 보조 기억매체 사용현황을 점검하는 등 제3자가 사용 및 승인에 대한 적정성을 검증할 수 있도록 관련 절차를 개선하시기 바람

□□□에 위탁하여 운영 중인 ◇◇◇시스템의 테스트 시 이용자정보 변환 등을 위해 ◯◯◯솔루션을 도입·운영하고 있고, 이용자 정보를 변환하지 않고 사용하는 경우 요청자(개발자)가 담당부서장에게 승인을 받고 있으나, 이용자 정보 미변환 사용 시 요청자가 승인권자를 임의로 지정할 수 있고, 보안 담당자 등 제3자가 동 요청사항 및 승인에 대한 적정성을 검증하고 있지 않으므로, 앞으로 요청자가 승인권자를 임의로 변경할 수 없도록 하고, 이용자 정보 미변환 사용에 대해 요청부서가 아닌 독립적인 제3자가 적정성을 검증할 수 있도록 관련 절차를 개선하는 등 □□□에 대한 위탁관리를 강화하시기 바람

해킹방지 관리대책 불합리