한국외환은행 검사결과제재 (2015-01-20)

조치의뢰사항

⑴ 공개용망(DMZ구간) 내 고객정보 관리 불철저 ｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제17조에 의하면 금융회사는 DMZ구간* 내에 이용자 정보 등 주요 정보를 저장 및 관리 하여서는 아니됨

* 내부통신망과 분리된 내부통신망과 외부통신망 사이의 독립된 통신망(전자금융감독규정 제17조에 의하면 금융회사는 공개용 웹서버를 DMZ구간에 설치하고 네트워크 및 웹 접근제어 수단으로 보호하도록 되어 있음) 외환은행 ○○○○부는 2010.4.26.부터 검사일(2014.2.20.) 현재까지 DMZ구간 내 ********서버에 고객의 영문명, 카드번호 등 고객정보를 평문으로 저장하고 있음(검사기간중 기 발생 정보를 일괄 삭제하였음)

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제17조

고객 비밀번호 저장 방법 개선

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 제1항 및 ｢신용정보업감독규정｣ 제20조 및 별표3에 의하면 신용정보회사등은 패스워드, 생체정보 등 본인임을 인증하는 정보에 대해서는 복호되지 아니하도록 일방향 암호화하여 저장하여야 한다고 규정하고 있으나, 외환은행 ♤♤♤♤♤♤부 및 ♡♡♡♡♡♡부는 검사일(2014.2.20.) 현재 일부 비밀번호의 경우 일방향 암호화 방법이 아닌 암호알고리즘을 이용하여 고객의 비밀번호를 저장하고 있으므로 일방향 암호화 하여 저장하도록 개선하시기 바람

개인PC에 개인정보 보관시 승인 및 파기관리 절차 마련

｢전자금융감독규정｣ 제13조 제1항은 단말기에 이용자 정보 등 주요정보의 보관을 금지하고, 불가피하게 단말기에 보관할 필요가 있는 경우 보관사유, 보관기간 및 관리 비밀번호 등을 정하여 책임자의 승인을 받아야 한다고 규정하고 있고, ｢개인정보보호법｣ 제21조는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다고 규정하고 있으나, 외환은행은 각 직원이 고객의 개인정보를 단말기에 보관할 경우 의무적으로 승인절차를 거치도록 통제할 수 있는 시스템을 갖추지 않고 있어 직원들이 임의로 고객 정보를 보관할 개연성이 있고, 보유기간 경과 등으로 개인정보가 불필요하게 되었을 경우에 보유중인 고객의 개인정보 파기를 강제하거나 파기 여부를 점검할 수 있는 시스템을 갖추지 않고 있어 직원들의 개인정보 파기 여부를 엄격히 통제하기 어려운 상황이므로 이를 개선할 수 있는 시스템 구축 등 개선방안을 마련할 필요가 있음

개인신용정보 오․남용에 대한 구체적인 제재기준 마련

외환은행은 ｢신용정보업감독규정｣ 제20조 및 별표3에 따른 개인신용정보 오․남용에 대한 구체적인 제재기준을 내규에 반영하지 않고 있어 제재기준의 명확성 및 형평성이 떨어질 우려가 있으므로 개인신용정보 오․남용에 대한 제재기준을 명확히 내규에 반영하는 등 개선하시기 바람

개인정보처리 위탁업체 선정시 심사절차 강화

외환은행 내규 ｢개인정보 보호지침｣ 제19조에 따르면 수탁자 선정시 인력과 물적 시설, 재정부담능력, 기술 보유의 정도, 책임능력 등을 종합적으로 사전에 점검하도록 정하고 있으나, 수탁업체 선정을 위한 평가시 평가기준이 있음에도 이를 적용하지 않는 등 실질적인 심사가 이루어지지 않고 있으며 수탁업체에 대한 임점점검 후 개인정보보호 요건을 충족시키지 못하는 업체에 대한 처리방안을 정하고 있지 않아 개인정보보호 능력이 부족한 업체가 선정될 개연성이 높으므로 업체 선정 및 임점 점검시 계량적 평가기준 등을 마련하여 기준을 충족시키는 업체와 계약을 할 수 있도록 정하는 등 업체 선정절차를 강화할 필요가 있음

수탁업체의 개인정보 파기 여부 점검 강화

｢개인정보보호법｣ 제26조 제4항 및 외환은행 내규 ｢개인정보 보호지침｣ 제21조에 따르면 개인정보의 처리를 위탁한 부점은 처리 위탁한 개인정보의 위탁 목적이 달성되거나 위탁계약이 해지 또는 종료된 경우 지체 없이 수탁자가 개인정보를 파기하였는지 점검하고 수탁자로부터 파기에 대한 확인서를 징구 하여야 함

수탁자의 개인정보 파기 여부 점검 또는 확인서 징구를 제대로 하지 않고 있으므로 수탁업체의 개인정보 파기 여부를 철저히 점검할 수 있는 방안을 마련할 필요가 있음

개인정보 조회 권한 부여의 적정성 여부 점검 강화

｢신용정보업감독규정｣ 별표3은 개인신용정보 조회 권한이 직급별ㆍ업무별로 차등 부여되도록 정하고 있고, ｢전자금융감독규정｣ 제13조 제1항은 전산자료의 입력·출력·열람을 함에 있어 사용자의 업무별로 접근권한을 통제할 것을 정하고 있어 외환은행은 부점장의 판단 하에 고객정보 조회 권한을 소속 직원들에게 차등 부여하고 있으나, 외환은행은 본점 부서장의 고객정보 조회 권한 부여의 적정성 여부를 점검하지 않고 있어 과다한 조회권한 부여에 대한 통제장치가 미흡하므로 본점에 대한 고객정보 조회 권한 부여의 적정성 여부 점검을 주기적으로 실시하는 등 관련 점검 절차를 강화할 필요가 있음

제휴업체에 대한 고객정보 제공항목 축소

♧♧♧♧♧부에서는 제휴카드 발급 및 부가서비스 제공 등을 위한 업무제휴계약을 체결한 제휴업체 등에 고객정보를 제공하고 있으나, △△△△△보험 등 제휴사에 제공하는 고객정보의 범위가 과다하므로 제휴목적에 따라 제휴업체의 목적달성을 위해 필요한 최소한의 정보만을 제공하도록 제휴업체별 제공정보를 축소 조정할 필요가 있음

암호 알고리즘의 안전성 제고

공개용망(DMZ 등)에 개인의 고유식별정보를 암호화하여 보관하면서 일부 서버(◉◉◉ 서버)에서 고객의 주민등록번호 뒤 7자리를 △△△ 암호 알고리즘을 이용하여 보관하고 있으나, 이는 행정안전부의 ｢개인정보 암호화 조치 안내서｣에서 권고하고 있지 않은 암호 알고리즘이므로 동 안내서에서 권고된 암호 알고리즘을 이용하여 고객의 식별정보를 보관할 필요가 있음

개인용 이메일 계정 관리 강화

외환은행 내규 ｢e-Mail을 이용한 업무처리 지침｣에 따라 은행은 직원이 퇴직한 경우에도 기 발급받은 은행 도메인주소(keb.co.kr)가 포함된 e-Mail 계정을 계속 이용할 수 있도록 허용하고 있으나, 직원이 퇴직한 경우에는 개인에게 부여된 은행 도메인주소가 포함된 개인용 e-Mail 계정을 해지하는 등 개인용 이메일 계정 관리를 강화할 필요가 있음

신용카드 가맹점 계약시 실사 강화

신용카드 가맹점 모집 및 가맹점의 영업영위 여부에 대한 실사를 가맹점설계사에게 위탁하고 있으나 실제 실사가 이루어지지 않은 경우가 있으므로 가맹점설계사에 대한 업무위탁 계약시 법규준수 및 정도영업 서약서를 징구하여 반드시 실사하도록 하고 가맹점신청서 접수시 실사 여부를 점검하도록 관련 절차를 강화할 필요가 있음