무궁화신탁 검사결과제재 (2014-12-09)

고객정보 유출 및 오ㆍ남용 방지를 위한 내부통제 강화 필요

고객정보 유출 및 오·남용 방지를 위해 오·남용시 제재기준을 설정하고, 고객정보 조회건수 급증 등 이상 과다조회의 적정성 여부를 수시 점검하는 내부통제시스템이 미흡한 상황이므로

고객정보 오·남용 제재기준을 구체적으로 설정하고 과다조회의 적정성 여부를 수시 점검하는 등 내부통제시스템을 갖출 필요

고객정보처리시스템 보안 관련 내부통제 강화 필요

내부정보유출방지솔루션(DLP) 및 DRM 등 보안 소프트웨어를 도입하여 정보유출에 대한 통제를 하고 있으나 일부 임직원에 대해 동 솔루션이 설치되어 있지 않은 사례가 있고 정보처리시스템 개발 관련 외주업체에 대한 구체적인 내부 관리규정 미비 등 정보관리 및 보안유지를 위한 내부통제가 다소 미흡하므로

DLP, DRM 등 보안 소프트웨어는 특별한 사유가 없는 한 모든 임직원 PC에 예외없이 설치하고, 외주업체 관리규정 마련 등 전산 관련 내부통제 강화 필요

전산실 출입통제 강화 필요

회사 내규 정보보호규정 제23조(전산실 보호)에 의하면 전산실 출입통제를 위해 출입내역 기록ㆍ보관 및 무인감시카메라 또는 출입자동기록시스템 설치 등 적절한 조치를 취하도록 하고 있음에도

전산실 출입을 통제할 수 있는 출입내역 기록ㆍ보관이 이루어지지 않고있으며 무인감시카메라(CCTV) 또는 출입자동기록시스템이 설치되지 않아 전산실에 대한 물리적 보호가 미흡하므로 관련 내규를 철저히 준수하여 전산실 보호가 적절히 이루어질 수 있도록 할 필요

고객정보 파기업무 관련 관리 철저 필요

보유기간 경과, 처리목적 달성 등으로 불필요하게 된 고객정보는 지체없이 파기하여야 하고, 다른 법령에 의해 보존하여야 하는 경우에는 다른 고객정보와 분리하여 보관하여야 하므로

분양사업이 종료 되어 파기대상인 고객정보는 지체없이 파기하고 다른 법령에 의해 보존기한이 남은 고객정보에 대해서는 영업목적에 이용되지 않도록 다른 고객정보와 분리 보관하는 등 관리를 철저히 할 필요

신용정보관리ㆍ보호인 미지정

신용정보제공ㆍ이용자는 신용정보를 보호하고 신용정보와 관련된 신용정보주체의 고충을 처리하는 신용정보관리ㆍ보호인을 1명 이상 지정 하여야 함

회사는 개인정보보호법상 개인정보 보호책임자를 선임하여 운영하고 있으나 신용정보관리ㆍ보호인을 선임하고 있지 않으므로 신용정보관리ㆍ보호인을 선임하여 관련 업무를 철저히 수행토록 할 필요

｢신용정보업감독규정｣ 별표3

신용정보 활용체제 미수립

신용정보제공ㆍ이용자는 신용정보의 처리에 관하여 ‘신용정보활용체제’를 작성하고 이를 공시 하여야 함

회사는 개인정보보호법상 ‘개인정보 처리방침’을 수립하여 홈페이지에 공시하고 있으나, ‘신용정보활용체제’를 작성하고 있지 않으므로 이를 마련하고 인터넷 홈페이지 등을 통해 공시할 필요

｢신용정보업감독규정｣ 제38조

고객정보처리시스템 접근통제 강화 필요

전체 신탁사업의 고객정보에 대한 접근권한을 모든 사업본부 및 경영지원본부에 차등 없이 부여함으로써 고객정보 접근통제가 다소 미흡하고, 전산실 내에 위치한 고객정보처리시스템이 인터넷 등 외부통신망으로부터 물리적으로 분리되지 않아 해킹 등의 위험에 노출되어 있으며, 내부직원의 고객정보처리시스템 접속 비밀번호가 양방향 암호화 되어 있어 정보유출 및 해킹 등 외부침입에 취약한 상태이므로

접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여하고, 전산실 내 고객정보처리시스템을 인터넷 등 외부통신망으로부터 분리하고, 내부직원의 고객정보처리시스템의 접속 비밀번호를 일방향 암호화 하는 등 접근통제를 강화할 필요

｢신용정보업감독규정｣ 별표3 ｢개인정보의 안전성 확보조치 기준 고시｣ 제7조