엠지손해보험주식회사 검사결과제재 (2015-05-08)

개인신용정보시스템 관리 불철저

신용정보관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 하고, 금융회사는 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인·감독하고, 단말기를 통한 이용자 정보 조회시 사용자, 사용일시, 변경·조회내용, 접속방법이 정보처리시스템에 자동적으로 기록되도록 하고 그 기록을 1년 이상 보존 하여야 함

㈎ ◎◎◎◎◎◎․◎◎◎

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 ｢전자금융거래법｣ 제21조 ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 ｢신용정보업 감독규정｣ 제20조, 별표3 ｢전자금융감독규정｣ 제7조, 제13조

고객정보 과다 조회자에 대한 관리 강화

고객정보시스템을 통한 고객정보 과다조회 점검기준(일 300건)을 2013. 10월∼12월 기간중 최대 조회부서의 일평균 조회건수(223건)을 초과하게 설정하여 과다조회자가 발생하지 않는 등 불합리하게 운영되고 있으므로 고객정보시스템 조회권한을 최소화하고 과다조회 점검기준을 합리적으로 설정하며 과다 조회 부서 및 직원에 대해 수시 점검을 실시하는 등 관련 내부통제를 강화할 필요가 있음

선택적 동의사항 등 표기 방법 개선

㈎ 2014.4.9.부터 운용중인 ‘자동차보험 완전판매 스크립트’(사전심의필 14-030호)에는 정보주체에게 상품소개 등을 위해 개인정보를 수집․이용 및 제공을 위한 동의를 구하면서 선택적 동의사항을 필수 동의인 것처럼 설명하고 있으므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항’을 오인하지 않도록 관련 업무를 합리적으로 개선하시기 바람 ㈏ 또한 정보주체에게 개인정보의 제3자 제공동의를 구하면서 개인정보를 제공받는 자를 ‘보험개발원․손해보험협회 등’ 포괄적으로 정해 동의를 받으면서 개인정보의 이용목적, 제공항목, 이용기간, 거부할 권리 및 거부시 불이익 내용 등을 알리지 않고 운영하고 있으므로 정보주체가 제3자 제공 동의 여부를 실질적으로 판단할 수 있도록 관련 업무를 합리적으로 개선하시기 바람

손해사정위탁업체 보안관리 업무 개선

◎◎◎◎◎◎㈜ 등 20개 손해사정위탁업체에서는 손해사정보고서 등에 대한 암호화 등 보안관리 대책이 없으며, 조사업무 종결 후에도 피보험자 주민등록번호 등이 담긴 손해사정보고서 등의 출력이 가능하므로, 손해사정위탁업체에 대해 개인정보의 저장·보관시 암호화 및 출력시 보안절차를 강화하도록 관리․통제 업무를 개선하시기 바람

단말기 관리업무 개선

㈎ 단말기 보호 및 비밀번호 유출을 방지하기 위한 비밀번호 관리정책*을 마련하지 않아 유추가능한 비밀번호 사용이 가능하게 운영되고 있으므로 비밀번호 관리 업무를 합리적으로 개선하시기 바람 * 숫자·영문자·특수문자 혼합 8자리 이상, 분기별 1회 이상 변경 ㈏ 주요정보 또는 이용자 정보가 수록되어 있는 정보처리시스템 관리용 단말기를 중요단말기로 지정하지 않고, 중요단말기로 지정된 전산기계실내 일부 단말기에서 개인정보처리시스템 접속 및 인터넷 접속 등이 동시에 이루어 질 수 있는 상태로 운영되고 있어 주요정보 등이 외부로 유출될 가능성이 있으므로 단말기 보호대책을 강화하도록 관련 업무를 합리적으로 개선하시기 바람

서버시스템 인증절차 강화

정보처리시스템내 운영체제(Operating System) 계정의 로그인(Log in)에 있어 계정 및 비밀번호 이외에 별도 인증 절차를 마련하고 있지 않고, 일부 계정은 5회 이상의 접속 오류가 발생하여도 사용을 제한하지 않으며, 서버시스템에 접속하는 계정을 공동으로 이용하면서도 개인별 사용내역을 기록·관리하지 않고 있으므로 정보처리시스템내 운영체제 및 서버시스템 인증절차를 강화하도록 관련 업무를 합리적으로 개선하시기 바람

정보보호시스템 보안관리 업무 개선

임․직원의 PC가 보안이 취약한 외부DNS*에 직접 연계되어 있어 파밍** 등의 외부침해 행위에 취약하고, 인가되지 않은 단말기의 사내 네트워크 접속을 차단하기 위한 보안대책이 없으며, 무선통신망 등을 통한 내부통신망 접속을 차단할 수 있는 장치가 마련되어 있지 않으므로 외부DNS에 직접 연계되고 있는 임직원의 PC를 제한하고 미인가 단말기를 통한 사내 네트워크 접속을 방지하며 무선통신망 차단장치를 구축하여 해킹 사고 위험을 방지하는 등 보안대책을 강화하도록 관련업무를 합리적으로 개선하시기 바람 * DNS(Domain Name Server) : 네트워크에서 도메인이나 호스트 이름을 숫자로 된 IP 주소로 해석해주는 TCP/IP 네트워크 서비스 ** 파밍(Pharming) : 정상적인 홈페이지 주소로 접속하여도 가짜사이트로 유도하여 개인금융정보 등을 몰래 빼가는 행위