케이디비생명보험주식회사 검사결과제재 (2014-12-10)

고객정보 조회이력 점검절차 미흡 고객정보 보호업무 전담부서에서 고객정보 과다 조회 임직원 및 부서의 조회 내역과 대량 고객정보를 조회할 수 있는 DB관리자(DBA,DatabaseAdministrator)의 고객 정보에 대한 조회 내역을 점검할 수 있는 절차가 마련되어 있지 않으므로, 업무상 고객정보를 사용하는 임직원 및 부서에 대해 고객정보 과다조회를 점검 하는 절차와 DB관리자의 고객정보 조회내역을 사후적으로 점검하는 절차를 마련하여 고객정보 과다조회자에 대한 내부통제 업무를 강화할 필요가 있음

고객정보보호관련 IT보안 전담인력 부족 IT보안 실무*를 전담하는 인력을 충분히 확보하여 개인정보 취급자에 대한 관리· 감독 강화 및 고객정보 유출사고 예방이 필요한데도,검사기간 현재 6명의 IT보안 인력 중 CISO및 네트워크운영 담당자를 제외한 IT보안 실무 전담인력은 4명(팀장 포함)에 불과하여 규정상 인원기준은 충족할지라도 관련 업무를 수행하기에는 부족한 상황으로 효과적인 고객정보 보호를 수행하기에 부족한 측면이 있으므로 *IT보안 전담인력이 수행하는 업무는 IT보안 예산 및 기획업무,IT보안 규정·지침·매뉴얼 마련, 자체 보안성 및 정기 취약점 점검 실시,IT보안 정기 모니터링 수행 등 IT보안 실무를 전담하는 인력을 충원하여 고객정보 관련 사고 등을 미연에 방지할 필요가 있음

고객정보조회 기록·관리 업무 미흡 고객정보 관련 DB 조회시 조회자의 신원,조회일시,대상정보를 기록·관리하고 있으며 임직원별 업무에 따라 시스템 조회 권한을 부여하고 있어 고객정보 관련 DB의 업무목적·용도 이외의 불필요한 조회를 방지하고 있으나,고객정보 조회기록에 조회의 목적 및 용도를 명시적으로 기록․관리하고 있지 않으므로, 고객정보 관련 DB의 조회시 조회 목적 및 용도가 명시적으로 포함되어 기록․관리 될 수 있도록 시스템을 개선하시기 바람

임직원 단말기내 고객정보 저장실태 점검 업무 미흡 임직원의 단말기에 고객정보를 보관하거나 공유하는 것을 금지하고 예외적으로 업무상 불가피하게 임직원 단말기에 고객정보를 저장하는 경우 개인정보 관리책임자의 승인을 받고 보관하여야 함에 따라,원칙적으로 임직원의 단말기에 고객정보를 보관하거나 공유하는 것을 금지하고는 있으나 예외적으로 임직원 단말기에 고객정보를 저장하는 경우 책임자가 승인 하는 절차가 마련되어 있지 않으므로 임직원 단말기 내 고객정보 보관시 보관사유,보관기간 및 비밀번호 등을 정하여 개인정보 관리책임자의 승인을 받도록 관련 절차를 마련하시기 바람

외주업체의 개인정보 보호에 대한 관리감독 미흡 외주업체에 제공하는 고객정보의 보호실태 점검 업무에 있어서 현업부서에서는 실사 점검을 수행하고 있으나 컴플라이언스 부서는 일부 외주업체에 대해서만 실사를 하고 있으므로, 고객정보 보호를 보다 철저히 수행하기 위해 향후 보험계약 적부심사,보험금 지급 등의 업무와 관련하여 대량의 고객정보를 처리하는 주요 외주업체에 대해서는 컴플라이언스 부서에서 전건 실사를 하는 등의 고객정보보호 관리감독을 강화할 필요가 있음

고객정보 유출사고 보고체계 미흡 고객정보 유출사고 발생시 금융당국에 즉시 사고 보고하는 프로세스는 구축하여 운영하고 있으나 내규 상 보고대상에 금융당국을 명시적으로 적시하지 않고 있으므로 고객정보 유출 사실에 대한 금융당국 보고 절차 내규에 금융당국을 명시적으로 적시하고 이에 따라 고객정보 유출사고 발생시 즉시 사고 보고할 수 있도록 내규를 개선 하시기 바람

이동저장매체 관리 강화 팔요 USB 등 이동저장매체의 사용시 책임자의 사전 승인을 받고 사용하고 있으나, 보안USB를 도입하여 USB사용시 사용자 인증을 거치도록 함으로써 USB를 분실하는 경우에도 USB에 저장된 고객정보가 외부로 유출될 가능성을 차단하는 것이 바람직한데도, 보안USB를 사용하지 않고 있으므로 보안USB를 도입하여 이동저장매체 관련 보안 절차를 개선하시기 바람

법인대리점 PC에 대한 보안관리 강화 필요 모든 단말기에 USB등 이동저장매체의 접속을 차단 또는 통제할 수 있는 보안 프로그램을 설치하여 고객정보의 외부유출을 방지하는 것이 바람직한데도 본사 임직원에 지급하는 PC에 대해서는 이동저장매체의 접속을 통제하는 보안프로그램을 설치하고 있으나 본사가 법인대리점에 지급한 PC에는 이동저장매체의 접속을 통제하는 보안 프로그램을 설치하지 않아 고객정보가 유출될 위험이 있으므로, 법인대리점 지급 PC에 이동저장매체 접속통제 프로그램을 설치하시기 바람

고객정보 출력시 마스킹 처리 필요 고객정보처리시스템에서 고객정보 출력시 용도에 따라 출력항목을 최소화하고 업무에 필수적인 사항을 제외한 나머지 고객정보를 마스킹 처리하여 표시하여야 함에도 일부 시스템 화면에서 업무와 무관한 고객정보가 마스킹 처리되지 않고 표시되고 있으므로, 업무처리상 필수적인 고객 정보를 제외하고는 모두 마스킹 처리하여 표시하도록 관련 시스템을 개선하시기 바람