신한카드 검사결과제재 (2015-01-05)

경영유의사항 ⑴ 제휴업체 앞 제공 고객정보에 대한 관리강화

고객의 신용정보 보호를 위하여 고객정보를 제공받는 제휴업체를 엄격히 제한하고, 동 정보를 USB 등 타 저장매체에 저장하거나 출력, 복사, 가공 또는 변형해서는 안 된다고 제휴업체와 약정하고 있으나, 제휴업체에 대한 실질적인 현장점검이 미진하여 제공된 고객 정보 중 탈회 · 해지고객 및 보관기간이 만료된 정보에 대한 삭제․반납업무가 미흡한 상황이므로,

앞으로 제휴업체에 대한 합리적인 실태점검과 탈회고객 등에 대한 정보의 폐기․반납업무를 효율적으로 운영할 수 있는 방안을 마련하여 시행할 필요가 있음

문책 및 조치의뢰사항

⑴ 신용정보 관리적 보안대책 미흡 등 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 제33조 및 ｢신용정보업감독규정｣ 제20조 등에 의하면 개인신용정보는 해당 신용정보주체가 신청한 금융거래 등 상거래관계의 설정 및 유지 여부를 판단하기 위한 목적 등으로만 이용하여야 하고, 신용정보전산시스템의 안전보호를 위하여 개인신용정보의 조회기록에 대하여 영업점 및 신용정보 관리부서의 고객 신용정보 조회 건수에 대해 정기적으로 점검하고 조회건수가 평소보다 급증한 부서 및 직원들을 샘플링하여 주기적으로 적정성 여부를 점검하여 점검결과를 업무에 반영 하여야 함

신한카드㈜ 일부 직원은 2013.7월~9월 기간 중 본래 업무목적이 아닌 개인목적으로 제3자에 대한 개인신용정보를 부당조회 하였으며 신용정보관리보호인(정보보호최고책임자가 겸임)은 2013.11.4.~11.22. 기간 중 동일인 고객정보 장기조회 점검을 실시(대상기간 2013.7월~9월)하면서 위 부당조회 건에 대한 별도 확인없이 배우자 등 가족의 거래내역을 단순 조회한 것으로 간주하여 자체 CISO 서면경고로 조치하는 등 적절한 제재조치를 취하지 아니하였음

｢신용정보의이용및보호에관한법률｣ 제19조, 제33조 ｢신용정보의이용및보호에관한법률시행령｣ 제16조 ｢신용정보업감독규정｣ 제20조, 별표3 ｢개인신용정보관리/보호규정｣ 제17조

개선사항 ⑴ 단말기 필수 설치 보안프로그램 운영 미흡

매체제어 프로그램(SafePC) 및 개인정보저장검색 프로그램(이글아이)은 일부 운영체제에서는 정상작동하지 않아 외부에서 반입한 일부 PC에 동 보안프로그램 2개를 설치하지 않고 있고,

매체제어 프로그램(SafePC)은 PC의 특정 파일(NICFSFD.sys) 이름을 변경하는 방법으로, 문서암호화프로그램(Document Security)은 구동중인 프로세스를 숨기고 있으나 모든 프로세스를 탐색하는 프로그램을 이용하여 해당 프로세스(SDSMan.exe)를 강제종료 내지 삭제하는 방법으로 무력화가 가능하며

접속을 차단한 인터넷 사이트는 핸드폰 테더링* 및 홈페이지 주소 변경**의 방법으로 접속이 가능하고, 업무용 PC의 폴더를 공유하지 못하도록 내규에 명시하고 공유 여부를 모니터링하고 있으나 폴더공유를 강제로 차단하는 기술적 방법을 도입하지는 않고 있고

* 테더링(tethering) : PC에서 핸드폰을 통하여 무선인터넷을 이용하는 기능 ** 인터넷 포털사이트인 다음(http://www.daum.net)의 이용을 차단하고 있으나, 홈페이지 주소에 신한카드를 추가 입력(http://www.daum.net/?goldwing.shinhancard.com)하면 접속 가능

문서암호화프로그램(Document Security) 및 백신 프로그램(V3)은 관리자 승인 등의 절차없이 PC에서 삭제가 가능하며, 삭제된 프로그램에 대하여 장시간(약 3~6시간) 재설치를 강제하지 않고 있는 등

자료유출 방지 등을 목적으로 업무용 PC에 필수 설치하는 보안프로그램에 취약한 점이 있으므로

앞으로 보안프로그램 업그레이드, 보안프로그램 우회에 대한 보안대책 마련 및 보안프로그램 삭제 등에 대한 통제강화 등 단말기 설치 보안프로그램 운영업무를 개선하시기 바람

⑵ CVC 보유 및 운영방식 미흡

카드 발급시 생성하는 CVC*값을 복호화가 가능한 암호화 방법으로 저장하여 고객의 카드이용 승인, 고객 본인인증 승인 및 신용카드 발급 등에 사용하고 있으나 CVC값을 포함한 카드번호 및 비밀번호가 외부 유출되는 경우 부정거래에 이용될 수 있는 위험이 있으므로

* CVC(Card Verification Code) : 신용카드 뒷면에 표기된 숫자로, 카드번호를 검증하기 위한 목적으로 사용

CVC값을 시스템에 보유하지 아니하고 필요시 재생성하여 사용하거나, 복호화할 수 없는 방식으로 암호화하여 저장하는 등 CVC 보유 및 운영방식을 개선할 필요가 있음