KB국민카드 검사결과제재 (2015-02-12)

FDS 운영시스템 접근통제 등 보안대책 수립 소홀 ｢전자금융감독규정｣ 제13조 등에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 입력·출력·열람을 함에 있어 사용자의 업무별로 접근권한을 통제하여야 하고 단말기와 전산자료의 접근권한이 부여되는 정보처리시스템 관리자에 대하여 적절한 통제장치를 마련·운용하여야 하며, ｢전자금융감독규정｣ 제28조 및 제30조 등에 의하면 금융회사는 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중확인해야 하는데도 FDS가 탑재된 서버장비의 운영체제(OS, Operating System)*에 직접 접근할 수 있는 OS사용자계정**을 직원에게 부여하면서 동 계정으로 시스템 쉘(SHELL)***을 통한 데이터베이스 접근이 가능한데도 이를 차단하거나 이러한 경로로 접근하는 경우 준수하여야 할 접근통제(작업통제 절차, 승인절차 등) 절차를 정한 바가 없었으며, * FDS가 탑재된 서버장비의 운영체제는 유닉스(UNIX)라는 운영체제임 ** OS(유닉스, UNIX) 시스템에 직접 접근하여 명령어 수행 등을 할 수 있는 권한을 가진 사용자계정 *** 운영체제(유닉스시스템)에 명령어를 직접 입력하여 전산처리를 할 수 있는 환경 동 OS사용자계정을 이용하여 수차례 데이터베이스에 접근하여 고객자료 생성 등 중요작업이 수행되는데도 책임자가 이를 이중확인하는 등의 통제 절차가 없었음 또한, ｢전자금융감독규정｣ 제13조 등에 의하면 금융회사 등은 사용자계정과 비밀번호를 개인별로 부여하고 사용자계정의 공동 사용이 불가피한 경우에는 개인별 사용내역을 기록·관리하여야 하는데도 위와 같이 고객정보 추출시 사용한 OS사용자계정을 FDS 운영시스템의 상태 점검 등 특수한 관리 목적으로 프로젝트담당직원에게 부여하였으나, 상주 IT위탁업체 직원 2명과 동 계정을 장기간 공동 사용하는데도 외주업체와의 계정공유를 통제하거나 개인별 사용내역을 관리하는 등 통제하지 않았음

외부 개발업체에 테스트용 고객정보 미변환 제공 ｢전자금융감독규정｣ 제13조 등에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 테스트 시 이용자 정보의 사용을 금지하되, 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 하며, 내규 ｢고객정보관리 및 보호규정｣ 제7조 등에 의하면 개인정보가 포함된 다수 고객의 정보는 원칙적으로 명세화를 금지하되, 업무상 필요한 경우 결재권자의 승인을 득하여 처리하고 중요정보는 마스킹 처리하는 등 보안조치를 취하여야 하며, 이 경우 해당 고객정보의 추출･수령･발송일자, 고객 수, 보유기간, 목적, 고객정보의 종류, 폐기이력 등을 관리하여야 하는데도 정보개발부는 2013.2~8월 기간 중 FDS 업그레이드 사업을 수행하면서 ■

전산장비 반출･반입과 관련하여 외부 전산장비의 반입시 반입 승인되지 않은 장비가 있는 경우 네트워크 사용을 제한하도록 시스템을 구축하지 않는 등 보안대책 마련이 소홀하였으며, 외주인력관리 관련 절차를 수립하면서도 외주인력 PC에 대한 보안프로그램 설치의 경우 회사의 직접 설치 등을 규정하지 않고 외주인력이 설치하도록 정하였고, 프로젝트 외주인력의 보안점검도 정보보호를 전담하는 정보보호부 등 통제 담당 조직이 아닌 당해 외부주문 사업수행 관리책임자인 ‘프로젝트관리자’가 전담(매월 최소 1회 확인)한다고 정하여 보안대책 마련을 소홀히 하였음

2013.2~11월 중 FDS 업그레이드사업 수행 목적으로 외부개발업체(■

㈜케이비국민카드는 중요단말기를 지정하면서 각 부서가 판단하여 중요단말기 지정을 신청하는 방식으로 운영하여, 신청의 누락･오류에 대한 대책이 없었고, 내부 지침 등에 부서별 중요단말기 지정의 의무화, 정보보호부의 중요단말기 지정에 대한 적정성 확인･점검 의무화 등 중요단말기 관리 절차 수립･운영을 소홀히 하였음

정보개발부는 FDS의 가동상황 모니터링을 목적으로 사용한 단말기(이하 ‘모니터링 PC')가 FDS의 이용자정보를 열람할 수 있는 단말기인데도 중요 단말기로 지정하지 않았고, 이에 따라 모니터링 PC에는 중요 단말기에 대하여 적용되는 사전지정 용도외 사용금지, 인터넷 접속 금지 등 강화된 보호대책이 운용되지 않았으며, 동 모니터링 PC에는 인터넷 사용을 위한 사용자 인증시 보안토큰보다 보안이 취약한 온라인인증서가 설치되어 있는 등 로그인 통제가 소홀하였고,필수 보안프로그램이 설치되지 않았는데도 이에 대한 보안점검도 하지 않았고, 모니터링 PC에 설치되어 있는 ‘엑스쉘(XSHELL)*’이라는 프로그램의 설정파일에는 FDS 운영시스템의 OS사용자계정 및 비밀번호가 설정･저장되어 있어 계정 및 비밀번호의 입력없이 언제든지 자동접속이 가능하여 FDS 운영시스템에 대한 무단접속이 가능한 상태로 방치되어 있었으며, * 유닉스시스템 원격접속용 응용프로그램 2013.3.18. 모니터링 PC를 외주 개발업체 프로젝트 수행장소에 이동 설치하여 개발한 기간 중 보조기억매체(USB저장장치) 무단 접속기록과 동 모니터링 PC에서 ■■■직원의 PC에 접속한 기록이 발견되는 등 중요단말기에 대한 관리를 장기간 소홀히 하였음 (라) 외부주문시 자체 보안성 검토 누락 ｢전자금융감독규정｣ 제60조 등에 의하면 금융회사는 전자금융거래를 위해 외부주문등의 경우에는 자체 보안성 검토를 실시하여야 하는데도 ㈜케이비국민카드는 2013.2~8월중 FDS 업그레이드 사업 추진시 동 사업을 외부주문으로 개발하면서 자체 보안성 검토를 누락하여 고객정보 유출사고 방지를 위한 외부용역 개발장비(개발자 PC 포함)의 보안 대책 및 개발 장소에 대한 통제의 적정성 여부, 개발 방법론의 구성상 보안 관련 사항의 포함 여부, 용역업체에 대한 통제 및 감사 기능의 적정성 여부 등 프로젝트 수행과 관련한 위험요인들을 사전에 검토하지 아니하였음 (마) 전산시스템 가동내역 미기록 ｢전자금융감독규정｣ 제13조, 제27조 등에 의하면 금융회사등은 전산자료의 유출, 파괴 등을 방지하기 위하여 정보처리시스템의 가동기록은 1년 이상 보존하고, 이용자 중요원장에 직접 접근하여 중요원장을 조회·수정·삭제·삽입하는 경우에는 작업자 및 작업내용 등을 기록하여 5년 이상 보존되도록 전산자료 보호대책을 수립·운용하여야 하는데도 ㈜케이비국민카드는 2013.2~8월 기간 중 OS사용자계정을 통해 수차례 데이터베이스에 접근하여 고객자료 생성 등 중요작업이 수행되고 있었음에도 FDS 운영시스템에서 이루어진 FDS작업 내용을 사후적으로 확인·점검할 수 있는 가동기록을 자동 기록·유지하지 아니하였으며 이용자 중요원장의 작업내용이 보관되도록 보호대책을 수립·운용하지 아니하였음 (바) 신용정보관리･보호인의 신용정보 관리･보호 관련 점검 불철저 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 등에 의하면 신용정보회사등은 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 기술적·물리적 보안대책으로서 접근통제, 접속기록의 위･변조 방지, 개인신용정보의 암호화 등의 보안대책을 수립하여야 하고, 신용정보관리･보호인은 임직원의 신용정보 관리･보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하여야 하는데도 신용정보관리･보호인은 IT업무와 관련된 신용정보관리·보호업무를 IT본부 내의 정보보호부가 담당하도록 하여 2013.2~8월중 FDS 업그레이드 사업 진행시 신용정보처리시스템에 대한 접근통제, 접속기록 관리 등 IT본부가 신용정보 보호를 위하여 수립･운영 중인 외부주문 관련 보안대책 등과 관련하여 고객정보 미변환 제공, 시스템 접근통제 소홀, 외부 개발업체 직원 PC에 대한 반출입 관리 소홀, 중요 단말기 통제 소홀 등의 문제점이 있음에도 불구하고 이를 점검하여 시정토록 하는 등의 업무를 소홀히 하였음 (사) 준법감시인의 내부통제 점검 업무 불철저 내규 ｢내부통제규정｣ 제6조 등에 의하면, 준법감시인은 내부통제기준의 준수여부를 점검하고 내부통제제도의 운영실태에 대한 모니터링 및 이와 관련한 문제점과 미비사항에 대한 개선･시정요구 등 내부통제체제를 총괄하여야 하는데도 준법감시인은 2012~2013년 기간 중 8회에 걸쳐 정보보호관련 내부통제 운영실태를 점검하면서 보안토큰 미사용자 PC에 대하여 별도 관리 및 점검하지 않은 사례, 업무용 공유 PC에 대하여 보안점검을 실시하지 않은 사례, ‘고객정보명세 관리대장’에 고객명세 폐기확인이 누락된 사례 등 고객정보 보호와 관련한 내부통제 문제점을 발견하였는데도 법규위반 여부를 조사하지 않았으며, 특히 2013.6.20. 점검시 점검대상기간(2013.1~6월)은 외부주문에 의한 FDS 업그레이드 사업 수행기간으로 동 기간 중 고객정보가 유출되는 사고가 발생하였는데도 대량의 이용자 신용정보에 대한 외부 유출 사고 발생시(2013.2~6월) IT본부가 가지고 있던 다수의 문제점(중요 단말기 지정 및 접근 통제 소홀, 외부업체 단말기 보안프로그램 설치 및 점검 소홀, FDS 운영시스템 접근통제 소홀 등)과 보안관련 통제절차 및 점검기준의 미비점을 발견하지 못하는 등 내부통제 점검을 소홀히 하였음 (아) 상근감사위원의 감사업무 불철저 내규 ｢상근감사위원직무규정｣ 제3조, 제6조, 제7조 및 별표 등에 의하면 상근감사위원은 감사실시 등 내부감사업무 수행에 관한 전반적인 사항을 수행하고, 규정 및 지침의 제정 또는 개폐에 대하여 사전감사하여야 하는데도 상근감사위원은 2012~2013년중 IT부문의 내부통제시스템 평가 및 정보보호 관련 규정․지침 및 업무매뉴얼에 대한 제․개정시 데이터베이스 접근통제, 외부업체 단말기 보안프로그램 설치 등과 관련한 내부통제의 취약점에 대한 검토를 소홀히 하였고, 2013. 5월중 정기감사를 실시하면서 당시 진행 중이었던 FDS업그레이드사업의 고객정보 미변환 제공, 가동내역 미기록, 외주인력 PC반출․반입 통제소홀 및 보안프로그램 미설치 등 법규 위반사실을 적발․조치하지 못하였음 < 관련규정 >

2012.1.6.~2013.12.22. 기간 중 신용카드회원의 탈회, 유효기간 만료 또는 가맹점의 해지 등 각종 상품･서비스 계약이 최종 만료된 고객정보에 대하여 처리목적 달성 여부 등을 검토하여 파기하거나 다른 고객정보와 분리하여 저장･보관하는 등의 조치를 취하지 않았으며, 국민은행 고객정보 시스템으로부터 카드 고객정보 이관(2011.6.4.~6.6.)시, 이관된 고객정보에는 카드 고객이 아닌 국민은행 고객정보도 포함되어 있었으며, 시스템 이관 후 국민카드 고객이 아닌 국민은행의 고객정보를 파기하지 않고 계속 보관하였음

2012.1.6.~2014.2.2. 기간 중 신용카드회원등의 신청 접수시 수집한 고객정보를 회원심사시스템 고객원장에 보관하면서 수집된 개인정보에 대하여 심사 탈락 등 처리목적 달성 여부 등을 검토하여 파기하거나 회원심사시스템 고객원장과 분리하여 저장･보관하는 등의 조치를 취하지 않았음 < 관련법규 >

신용카드모집인에 대한 개인신용정보 부당 제공 (가) 개인신용정보 부당 제공 ｢신용정보의 이용 및 보호에 관한 법률｣ 제32조에 의하면 신용정보제공･이용자는 개인신용정보를 타인에게 제공하려는 경우에는 제공받는 자와 이용목적 등을 알리고 해당 개인으로부터 미리 동의를 받아야 하는데도 2011.3.2.~2014.2.27. 기간 중 회원의 동의없이 카드사용 촉진권유 등을 위하여 신용카드 모집인에게 모집인전용 전산조회 화면을 통하여 자신이 모집한 신용카드회원의 월별 신용카드 이용금액 등을 조회할 수 있도록 조회권한을 부여하였음 (나) 신용정보전산시스템에 대한 관리적 보안대책 수립 및 점검 불철저 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업감독규정｣ 제20조 등에 의하면 신용정보관리·보호인은 임직원의 신용정보 관련 법령 및 내부관리규정 등의 준수여부, 신용정보 관리부서의 신용정보 조회 건수에 대해 점검하여야 하는데도 신용정보관리·보호인은 위 (가)와 같이 신용카드모집인에게 개인신용정보가 제공되고 있음에도 개인신용정보 조회권한 부여의 적정성, 개인신용정보 조회기록의 이상 유무 등을 점검하지 아니하였음 < 관련법규 >

개인정보 유출여부 확인시스템 관리소홀로 인한 고객정보 유출 ｢여신전문금융업법｣제24조 등에 의하면 신용카드업자는 신용카드회원등의 신용에 관한 자료 또는 제반 정보가 외부에 유출되지 아니하도록 하여야 하는데도 2014.1.17. 홈페이지를 통해 ｢개인정보 유출여부 확인｣서비스를 제공하면서 서비스 이용자의 본인확인 방법으로 성명, 성별, 생년월일 및 주민번호 마지막 한자리를 입력하는 방식을 채택하여 운영함으로써 제3자가 동 ｢개인정보 유출여부 확인｣서비스를 통해 특정인의 개인정보 유출 항목 등을 조회하는 것이 가능하도록 하였으며, 그 결과 제3자에 의해 ｢개인정보 유출여부 확인｣ 조회가 이루어진 것으로 추정되는 건이 177건(개인정보 유출 여부 조회 고객수 기준)으로 확인되었고, ｢개인정보 유출여부 확인｣ 조회 화면이 캡쳐되어 일부 인터넷 커뮤니티 게시글에 등록되어 유포되는 사고가 발생하여 사회적 물의를 일으킨 사실이 있음 <관련법규>