농협생명보험주식회사 검사결과제재 (2015-03-20)

전산자료 보호대책 불철저

전자금융감독규정 제32조 제2호에 의하면 금융회사는 내부사용자의 비밀번호 유출을 방지하기 위하여 내부사용자 비밀번호는 숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정하여야 하고, 전자금융감독규정 제13조 제1항 제4호에 의하면 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 입력·출력·열람을 함에 있어 사용자의 업무별로 접근권한을 통제 하여야 함

외부 접속이 불가능한 내부용 시스템(1개)의 비밀번호를 미흡하게 설정하여 운영하였고, 동 시스템에서 접근권한이 없는 자에 의해 파일 출력(다운로드)이 가능한 상태로 서버를 운영하는 등 전산자료 보호대책을 일부 미흡하게 운영하였음

개인정보 보호대책 강화

대외기관으로부터 전송받은 통계정보 등을 내부망 스토리지에 파일로 저장·보관 함에 있어 일부정보를 평문으로 저장하였으며, 데이터베이스 내에 이용자정보 대부분을 암호화하였으나, 1개 항목에 대하여 평문으로 저장하고 있으므로 향후 중요 이용자정보 중 보관이 불필요한 항목은 삭제하거나, 불가피하게 보관이 필요한 경우 안전한 알고리즘에 의해 암호화하는 등 개선 필요

보조기억매체 등 사용통제 강화

저장매체를 통한 데이터 유출방지를 위하여 보조기억매체 통제프로그램을 운영하고 있으나, 보조기억매체 통제 절차가 미흡하므로 향후 보조기억매체에 저장 시 개인정보 포함여부 확인 및 사후점검 등 통제를 강화하는 한편, 외부 메일 발송에 대한 통제절차를 강화할 필요

내부사용자 비밀번호 암호화 알고리즘 강화

내부 시스템인 정보계 시스템 중 2개 시스템의 내부사용자 비밀번호 암호화 알고리즘에 대한 보안강도를 강화하도록 개선할 필요