국민은행 검사결과제재 (2015-01-16)

◍◍◍ 제재사실 보고 지연 ｢은행법｣ 제47조 및 ｢은행법 시행령｣ 제24조의2 제2항 및 제26조의2에 따라 은행은 국외현지법인이 현지 감독기관으로부터 제재를 받은 경우 금감원장에게 지체 없이 보고하여야 하는데도,

㈜▲▲▲▲▲▲▲에 대한 여신취급 부적정 (가) 담보가액 산정 부적정 ｢은행법｣ 제34조, ｢은행업감독규정｣ 제78조 및 국민은행 내규 ｢여신업무지침｣ 제409조(공장저당) 등에 따르면 담보물 목록 작성시 영업점이 현장조사 등을 통하여 해당 담보물의 현존 여부 등을 확인하여야 할 의무가 있는데도, ▣▣지점은 ㈜▲▲▲▲▲▲▲에 대하여 2013.3.4.~3.6. 기간 중 280억원의 대출을 취급하는 과정에서 ㈜▲▲▲▲▲▲▲의 향양리 공장(경기도 파주시 향양리 ◓◓◓-◓ 소재)을 담보로 취득하고 감정평가서를 근거로 향양리 공장 내에 설치된 것으로 조사된 기계장치 139개(감정가격 116억 3천만원)를 포함하여 공장의 가치를 219억 38백만원으로 평가(담보인정가액 104억 4백만원)하면서,

담보 목록 작성시 실제 기계장치에 대한 조사․확인을 소홀히 하여 향양리 공장 내에 설치된 것으로 조사된 기계장치 139개 중 IR건조기 등 32개가 실제로는 ㈜▲▲▲▲▲▲▲가 16억 35백만원에 취득한 중고 기계장치였음에도 새 기계장치로 가치를 산정*하여 담보대출을 취급하는 결과를 초래하였고, * 국민은행은 동 기계를 신규설비로 보고 83억 7천만원으로 담보가치를 산정

이중 18개 기계장치(중고 취득가액 11억 76백만원)*는 향양리 공장이 아닌 선유리 ◬◬◬◬-◬번지에 소재한 ㈜▲▲▲▲▲▲▲의 다른 공장에 설치되어 있었고, △△△△부(部)도 외부감정평가서를 재사정한 결과, 감정평가서상 기계기구 중 일부가 향양리 공장이 아닌 다른 공장에 있으므로 공장저당법에 의한 담보 취득시 유의하라는 의견을 제시하였는데도, * 국민은행은 37억 3천만원으로 담보가치를 산정 감정평가서 및 외부감정평가서 재사정표에 대한 검토를 소홀히 하여 실제 저당권 효력이 미치지 못하는 기계까지 담보물 목록에 포함하여 저당권 설정을 신청함에 따라 담보가치의 과대평가를 초래한 사실이 있음 (나) 용도외 유용 사후점검 불철저 국민은행 ｢여신업무지침｣ 제377조(자금용도외 유용 사후점검 업무)에 의하면 모든 운전자금에 대해서는 자금용도외 유용 사후점검을 이행하여야 함*에도, * 단, 한도거래여신 등 운전자금용도 사후점검 생략대상은 점검대상에서 제외 ▣▣지점은 ㈜▲▲▲▲▲▲▲로부터 대출금 사용내역표를 제출받아 실시하는 대출자금의 용도외 유용에 대한 사후점검을 이행하지 않은 사실이 있음 (다) 여신심사업무 불철저 ｢은행법｣ 제34조, 「은행업감독규정」제78조 및 국민은행 내규 ｢여신업무지침｣ 제303조(여신심사 원칙) 등에 따르면 여신심사시 담보 취득 및 평가의 적정성을 검토하도록 되어 있고 △△△△부가 외부감정평가서를 재사정한 결과, 감정평가서상 기계기구 중 일부가 향양리 공장이 아닌 다른 공장에 있으므로 공장저당법에 의한 담보 취득시 유의하라는 의견을 제시하였는데도, ▶▶▶▶▶▶부는 ㈜▲▲▲▲▲▲▲ 대출건을 심사하면서 실제 저당권 효력이 미치지 못하는 기계에 대해 담보가치를 산정하여 대출을 승인하는 등 대출심사업무를 소홀히 한 사실이 있음 < 관련규정 >

고객정보 관리 및 전산자료 보호대책 수립‧운용 불철저 (가) 테스트시스템 고객정보 보호 소홀 ｢전자금융감독규정｣ 제13조에 따라 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산프로그램 테스트 시 이용자 정보 사용이 금지되며, 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 함에도, ▷▷▷▷부 및 ◆◆◆◆부는 검사착수일 현재(2014.2.4.) 테스트시스템에서 고객정보(주민번호, 성명, 계좌번호 등) 9,047건을 변환하지 않고 사용한 사실이 있음 (나) 중요 단말기 관리 소홀 ｢전자금융감독규정｣ 제12조에 의거 금융회사는 정보처리시스템 관리용 단말기 등 중요 단말기에 대하여 노트북 사용 금지, 메일 송‧수신 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 수립‧운용하여야 함에도,

비밀번호 입력업무 부당 처리 ｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제33조에 따라 금융기관은 이용자의 비밀번호 유출을 방지하기 위하여 핀패드(PIN Pad) 등의 보안장치를 이용하여 고객이 직접 비밀번호를 입력하도록 하여야 하는데도 ○○○○○지점에서는 2014.2.26. 고객 ◎◎◎의 ‘KB Hi! Story 적금(가입금액 500천원)’ 및 ‘ELS 14-94호 원금비보장형 신탁상품(가입금액 100,000천원)’ 신규 가입업무를 취급하면서 고객이 아닌 직원이 비밀번호입력기(PIN Pad)에 비밀번호를 입력한 사실이 있음 < 관련규정 >

고객정보 과다조회 관련 점검기준 마련 직원의 고객정보 조회에 대해 점검하고 있으나 과다조회 및 점검주기 등에 대한 기준이 정해져 있지 않아 점검의 실효성이 저하될 우려가 있으므로 영업점 및 고객정보 관리부서의 고객정보조회에 대하여 정기적으로 점검하고, 고객정보조회 건수가 평소 보다 급증한 부서 및 직원에 대하여는 수시로 점검하기 위한 점검 기준을 조속히 마련하시기 바람

외주업체 직원의 개인정보 접근 차단 개인정보 관련업무를 담당하는 IT요원(외주직원 포함) 210명에게 데이타베이스 직접 접근권한을 허용하고 있어 통제 소홀시 개인정보의 대량유출 가능성이 있는 바, 개인정보 직접 접근이 가능한 자를 최소한으로 지정·운영하는 등 개인정보에 대한 접근통제대책을 강화하시기 바람 (3) 외주업체 직원에 대한 전산장비 제공 시스템 개발 및 유지보수를 위한 외주 용역계약 시 사용 단말기를 외주업체에서 조달하는 형태로 운영하고 있어, 외주 직원의 미승인 단말기에 의한 내부망 무단접속 등을 통한 개인정보 유출의 우려가 있으므로 외주 계약시 외주직원이 사용하는 단말기는 기본적으로 은행에서 제공토록 개선하시기 바람

업무용시스템의 고객정보 보호 강화 업무용시스템(▩▩▩▩▩▩단말)의 고객정보 유출 방지를 위해 고객정보 조회용 화면에 대해 부점별 사용자는 2명으로 제한, 장표인쇄 및 파일 다운로드 시 개인정보 변환처리(홍길*, 810101-1******) 등을 하고 있으나, 화면상에서는 성명, 전화번호(핸드폰 포함)가 미변환 상태로 조회되고 있어 화면캡쳐 및 인쇄 또는 스마트폰 촬영 등으로 다수 고객정보 유출의 가능성이 있으므로 이에 대한 대책을 강화하시기 바람

고객정보 조회 내역에 대한 점검 강화 정보계 DB의 고객정보에 대한 구조적질의어(SQL)에 의한 직접 조회시 사전승인 및 사후점검을 실시하고 있으나, 또 다른 직접조회툴인 ▧▧▧ 및 ▨▨▨▨▨▨에 의한 조회시에는 사전승인 및 사후점검절차를 거치지 않고 있어 무단조회를 통한 고객정보의 대량 유출 가능성이 있으므로 ▧▧▧ 및 ▨▨▨▨▨▨를 포함한 모든 정보계 DB 직접 조회에 대한 사전 및 사후점검체계를 강화하시기 바람

공용 인터넷 PC 관리 강화 외주직원이 사용하는 공용 인터넷 PC에 대해서는 정기적인 점검이 이루어지지 않고 있으며, 이 중 1대에서 네트워크 관련 대외비 파일이 발견된 사례가 있으므로, 공용 인터넷 PC에 대해 USB사용 제한, 대외비 문서의 저장 여부를 정기적으로 점검하고 직원(외주직원 포함) 보안교육을 강화하시기 바람

개인정보 위험도 분석 철저 국민은행은「개인정보보호법」에 의거 고객정보의 암호화와 관련하여「위험도 분석 기준」결과에 따라 암호화를 적용하지 않고 있으나 *「개인정보보호법」제29조 및 「개인정보의 안전성 확보조치 기준」제7조 5항에 의거 위험도분석 결과 모든 항목이 문제가 없을 경우 암호화하지 않아도 됨 2012.10.30 수행한 위험도 분석시 ｢위험도 분석 기준｣에서 정해진 개인정보파일 단위가 아니라 개별시스템들을 통합적으로 분석하여 결과서를 작성하는 등 위험도 분석이 미흡하므로 이를 개선하시기 바람

방화벽 정책 관리 강화 DMZ구간의 공개용 웹메일서버 백업을 위해 DMZ에서 내부망 백업서버로 서비스(◑◑◑, ◐◐◐◐◐◐, ◓◓◓)를 허용하고 있어 웹메일서버 해킹 시 내부 서버로의 악성코드 감염 및 정보 유출 등의 위험이 있으므로, 해당 서비스가 부득이 필요한 경우 내부에서 DMZ 방향으로 접근이 가능하도록 방화벽 정책을 개선하시기 바람

보조기억매체 관리 강화 PC에 접속해 사용되는 보조기억매체(USB, CD-ROM 및 이동식 하드디스크 등)의 경우 동 매체에 대한 인가여부를 검증하지 않아 외부에서 반입된 보조기억매체도 사용이 가능하여 외부인 등에 의한 내부정보 유출의 위험이 있는 바, 인가된 보조기억 매체만 PC에 접속해 사용할 수 있도록 관련 시스템을 개선하시기 바람

고객정보 파쇄에 대한 개인정보보호책임자의 확인절차 마련 보존문서, 장표 및 고객정보명세 등 고객정보의 보유기간이 경과하였거나 처리목적이 달성되어 그 고객정보가 불필요하게 되었을 때에는 지체없이 그 고객정보를 파기하고, 나아가 고객정보 파기에 대하여 개인정보보호책임자가 확인하는 절차를 마련할 필요가 있음

외주업체의 고객정보 관리현황 점검 강화 외주업체의 고객정보 관리 현황에 대해 점검을 소홀히 한 사례가 있는바, 외주업체로 인하여 고객정보가 분실․도난․유출․변조 또는 훼손되지 않도록 외주업체의 고객정보 관리현황을 철저히 점검하고, 고객정보의 처리목적이 달성된 경우에는 지체없이 파기하도록 고객정보의 파기시기를 조정할 필요가 있음