신한은행 검사결과제재 (2015-02-23)

고객정보처리시스템에 대한 접근권한 통제 개선

고객정보처리시스템에 대한 부서별･개인별 사용자계정 부여, 작업권한 할당 및 기 할당된 작업권한의 적정성에 대한 주기적 점검 등을 관련법규에 따라 수행하고 있으나, 주기적 점검시 사용실적이 없는 경우 작업권한을 회수하지 않아 불필요한 권한이 유지됨에 따라 고객정보에 대한 내부통제가 소홀해질 우려가 있으므로 고객정보처리시스템에 대한 접근권한 통제에 있어서 일정기간 동안 사용실적이 없는 작업권한을 회수하는 절차를 내규에 반영하여 등 관련절차를 개선하시기 바람

개인정보 보호책임자의 임무 관련 내규 정비

은행 내규 ｢개인정보보호지침｣ 등은 ｢개인정보보호법｣에서 규정한 개인정보 보호책임자의 임무만을 열거하고, 동법 시행령에 위임되어 있는 개인정보 처리방침의 수립ㆍ변경 및 시행 등의 임무를 명확히 반영하지 않고 있으므로 개인정보 보호책임자의 임무를 명확히 하기 위하여 ｢개인정보보호지침｣을 개정하는 등 은행 내규를 정비하시기 바람

고객정보의 처리 관련 위탁계약체결 절차 개선

고객정보의 처리 관련 위탁계약서 작성시 개인정보 또는 개인신용정보 취급 여부에 따라 ‘개인(신용)정보 처리업무 보안관리 약정서’ 또는 ‘고객신용정보 보안관리 약정서’로 구분하여 체결하고 있으나, ◇◇◇◇◇◇과 위탁계약서 체결시 개인정보만 제공되는데도 불구하고 ‘개인(신용)정보 처리업무 보안관리 약정서’가 아닌 ‘고객신용정보 보안관리약정서’를 체결하는 등 일부* 계약체결에 있어서 혼선이 발생하여 업무위탁에 따른 고객정보 관리가 소홀해질 우려가 있으므로 * ◇◇◇

비밀번호 암호화 개선

이용자 비밀번호 암호화는 ◇◇(☆☆☆) 후 ■■를 ▲▲하여 ◎◎◎(★★★★)를 통해 이중암호화를 적용하고 있으나, 은행은 국내외 암호 연구기관에서 권고*하는 암호화 알고리즘이 아닌 ◇◇◇를 사용하고 있으므로 * ｢개인정보의 안전성 확보조치 기준 고시｣ 및 동 해설서(안전행정부) 앞으로 관련기관에서 권고하는 비밀번호 암호화 알고리즘을 적용하는 등 비밀번호 암호화방법을 개선하시기 바람

전산센터 서버의 불량 디스크 반출절차 개선

전산센터 서버의 디스크에서 불량장애가 발생할 경우 디스크 제공업체를 통해 신규디스크와 불량디스크를 1대1로 교환․반출하면서 별도의 데이터 삭제 없이 처리하고 있으므로 앞으로 정보보안 강화차원에서 데이터 판독 가능여부와 관계없이 데이터를 삭제하거나 디스크를 파쇄하는 등 반출절차를 개선하시기 바람

개인정보의 보관, 공유 및 파기 관련 통제 강화

임직원들이 스스로 개인정보를 등록하는 방식으로 고객정보관리기록시스템을 운영함에 따라 임직원들이 임의로 개인정보를 보관하고 공유할 개연성이 있고, 보유기간 경과 등으로 개인정보가 불필요하게 되었을 경우에도 파기하지 않을 우려가 있으므로 개인정보 점검주기를 단축하거나 고객정보관리기록시스템 운영방식을 개선하는 등 개인정보의 보관, 공유 및 파기 관련 통제를 강화할 필요가 있음

정보처리시스템 개발 및 테스트시 고객정보의 변환 및 삭제 철저

정보처리시스템에 대한 개발 및 테스트시 실제 고객정보를 변환하여 사용하는 경우에는 개발 및 테스트 종료 즉시 동 고객정보를 삭제 하여야 함

정보처리시스템의 개발 및 테스트 관련 ★★★★★★★서버(▲▲▲▲ ▲▲ 테스트 서버)에서 ◎◎직원과 ◇◇

단말기 공유설정 강화

은행의 ■■■■시스템인 ♤♤(♤♤♤ ♤♤♤♤♤)에 쓰기 권한이 부여된 공유폴더(☆☆☆☆☆☆☆폴더*)가 존재하여 동 공유폴더를 통해 고객정보가 공개될 우려가 있으므로 * ◐◐/◑◑시 각 PC의 ◉◉정보(◈◈◈◈, ▣▣▣▣▣ 등) 수집용도로 사용 고객정보가 공유폴더를 통해서 공개되지 않도록 단말기 공유설정을 강화할 필요가 있음

고객정보의 처리 위탁계약서 작성 철저

｢개인정보보호법｣에 따라 개인(신용)정보 위탁시 체결하는 도급계약서에 보안 준수사항을 포함하는 등 도급계약서 표준양식을 변경(2013. 6월)하였으나, 동 변경 이전에 ♤♤♤♤♤♤♤♤과 체결한 “♥♥ ♥♥ 및 ♥♥♥♥ 도급계약”(2013. 3월)의 경우 별도의 추가 약정 등을 통하여 보안 준수사항을 보완하지 않았으므로 앞으로 보안 준수사항 등이 누락되는 사례가 재발하지 않도록 관련법규에 따라 고객정보의 처리 위탁 관련 계약서 작성을 철저히 할 필요가 있음

전산센터 이전 관련 오픈뱅킹업무 점검 강화

전산센터 이전시 ◇◇◇◇업무 점검을 위하여 일시적으로 ◈◈◈◈을 조정하는 과정에서 ☆☆☆☆☆☆☆서버(◇

명의 주민등록번호 앞으로 ■■■■(▣▣▣ 등)에 고유식별정보가 저장․관리되는 사례가 재발하지 않도록 고유식별정보를 암호화하여 저장․관리하고, 이에 대하여 주기적으로 점검하는 등 조치를 취할 필요가 있음