삼성카드주식회사 검사결과제재 (2015-01-05)

문책 및 조치의뢰사항

⑴ 전산자료 보호대책 운영 불철저 舊 ｢전자금융거래법(2012.3.21. 개정 전의 것)｣ 제21조, 舊 ｢전자금융감독규정시행세칙(2012.5.24. 개정 전의 것)｣ 제9조 등에 따르면 금융기관은 전자금융거래의 안전성과 신뢰성 확보와 전산자료 유출, 파괴 등의 방지를 위하여 테스트 시 이용자 정보를 변환하여 사용하여야 하고, 정보처리시스템의 가동기록을 1년 이상 보존하여야 하며, 사용자계정의 공동사용이 불가피한 경우에는 개인별 사용내역을 기록·관리 하여야 함

삼성카드㈜는 2011.1.17~11.14. 기간 중 부정사용방지시스템(Fraud Detection System, FDS) 개선 프로젝트를 수행면서 동 시스템 시운전 테스트 당시 주민등록번호, 카드번호 등 이용자 정보를 변환하지 않은 채 사용하였고, 이용자정보를 포함하고 있는 FDS 개발계시스템의 가동내역 및 동시스템에 저장된 DB에의 접속내역을 기록·관리하지 않았으며, 동시스템 운영과정에서 사용자계정 3개를 여러 직원이 공동으로 사용하면서 개인별 사용내역을 기록·관리하지 아니하였음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정시행세칙｣ 제9조

⑴ 정보보호시스템 보안정책 이력의 기록·보관 소홀 「전자금융감독규정」제15조 등에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 정보보호시스템을 설치․운영하는 경우 보안정책의 승인․적용, 등록, 변경 및 삭제 이력을 1년 이상 기록․보관 하여야 함

주의사항 ⑴ 정보보호시스템 보안정책 이력의 기록·보관 소홀

「전자금융감독규정」제15조 등에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 정보보호시스템을 설치․운영하는 경우 보안정책의 승인․적용, 등록, 변경 및 삭제 이력을 1년 이상 기록․보관하여야 하는데도

2013.2.4.~2014.2.3. 기간 중 네트워크장비(NAC, Network Access Control, 망접근제어 정보보호시스템)의 경우 보안정책 변경 등의 이력을 기록․보관하지 않았음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제15조 ｢전자금융감독규정(2013.6.25. 개정 전의 것)｣ 제60조 ｢전자금융감독규정｣ 제60조

신용정보 관리·보호인 지정 개선

신용정보 보호·관리에 대한 보안업무를 담당하지 않는 등 신용정보 보호·관리 업무를 총괄하기에 적합하지 아니한 준법감시팀장이 신용정보 관리·보호인을 겸직하고 있어 업무 사각지대가 발생하고 부서간 업무협조가 어려울 우려가 있으므로 회사 전체 관점에서 신용정보 제공·활용·보호 및 관리 등의 업무를 종합적으로 수행할 수 있도록 별도 임원을 신용정보관리·보호인으로 지정하는 등 개선하시기 바람

단말기 보호대책 개선

정보보호지침 내규에 따라 전산개발 관련 외주인력의 PC반출시 HDD의 포맷여부를 부서장이 확인하고, 반입시에는 보안조치*를 취하고 있으나, 부서장 승인하에 반입자, 물품명세, 목적 등을 기록하고 H/W, S/W 사양, 하드디스크 저장정보를 확인하고 보안프로그램 작동여부를 지속적으로 모니터링하는 것이 중요함에도 * 물리적 보안조치(무단반출을 차단하기 위한 시건장치 등), 논리적 보안조치(내부네트워크 사용을 위한 별도의 IP‧ID부여, 보안프로그램 설치 등) 검사착수일까지 개발자 PC에 대해 반입확인서를 미작성 하였으며, 보안프로그램 미사용을 모니터링할 수 있는 체계가 미흡하므로 장비의 실질적인 반입·반출을 확인하고, 보안프로그램 삭제 등 보안조치 우회에 대한 모니터링을 강화하는 등 단말기 보호 대책관련 업무를 개선하시기 바람