메리츠화재해상보험 검사결과제재 (2014-10-31)

고객정보 과다 조회자에 대한 관리 강화 회사는 고객정보 과다조회 현황 점검시 매월 고객정보 과다조회자 상위 10명을 대상으로 사유서만 징구하고, 고객정보 과다조회의 원인을 분석하지 않는 등 고객정보 과다조회 부서 및 직원에 대한 관리가 미흡하므로 과다조회 대상자 선정범위를 확대하고 판단기준을 명문화하며, 과다조회 부서 및 직원을 수시 점검하고 발생원인을 분석하여 재발방지 대책을 강구하는 등 사후관리를 강화할 필요가 있음

고객정보 보유 및 파기에 대한 관리․감독 강화 고객정보 보유기간(보상DB: 30년) 및 파기주기(보험․대출․보상 DB: 보유기간 종료후 6개월)를 법적 근거 없이 임의로 장기간 설정․운영하고 있고, 일부 고객정보(계약종료고객DB 및 보상고객DB)에 대한 파기관리대장을 운영하지 않고 있으며, 보험금심사부서 및 손해사정업체 등에 대해 개인정보 파기실태 관련 현장점검을 소홀히 하고 있으므로 개인정보의 안전한 관리를 위하여 고객정보의 보유기간 및 파기주기를 최대한 단축하고, 고객정보 파기실태에 대한 현장점검을 강화하는 등 관리․감독을 강화할 필요가 있음

고객정보 암호화 및 전산시스템의 통신보안 강화 직원PC 및 공용PC에 보관중인 이미지파일에 대해 암호화(DRM)를 적용하지 않고 있으므로 이미지파일에 대해 암호화(DRM)를 적용하는 등 보안 조치를 강화하고 기간계 서버(FTP, TELNET) 및 통합세일즈 서버 등 서버간 접속 인증방식을 암호화가 아닌 평문 방식으로 운영함으로써 사용자계정(아이디 및 비밀번호)의 유출 위험이 있으므로 서버간 접속방식을 암호화하는 등 통신보안 조치를 강화할 필요가 있음

과도한 고객정보 수집․보관 개선 손보협회가 제정한’고객정보 수집 관련 표준서식’에 따라 고객정보를 수집하고 있으나 대출거래 신청서에서 ‘부서명, 부양가족, 자녀수, 맞벌이여부, 주거형태, 주거기간 등’ 업무상 필요한 정보 이외의 과도한 정보를 수집․보관하고 있으므로 향후 대출거래 신청서 양식을 개정하여 불필요한 개인정보가 수집․보관되지 않도록 관련 업무를 합리적으로 개선하시기 바람

선택적 동의사항 표기 방법 개선 개인정보 수집․이용․제공 동의서에 ‘계약체결을 위한 필수 동의사항’과 ‘마케팅 활용을 위한 선택적 동의사항’의 구분이 불분명하므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항‘을 시각적으로 쉽게 인지할 수 있도록 해당 문구를 크고 진하게 표시하는 등’선택적 동의사항‘을’필수 동의사항‘으로 오인하지 않도록 관련 업무를 합리적으로 개선하시기 바람

개인정보의 제3자 제공 안내방법 개선 개인정보의 제3자 제공과 관련한 ‘개인(신용)정보 제공 처리 표준동의서’에 ‘개인정보의 제3자 제공처에 대한 안내(홈페이지 주소 등)’가 누락되거나, 제3자 정보 제공처를 구체적으로 명기하지 않고 ‘홈페이지 참고’ 등으로 기재하였으며 홈페이지상 제3자 정보 제공처를 작은 글자체로 표기하고, 정보 제공처가 수시로 변동되고 있음에도 이를 적시에 반영하지 않아 고객의 의도와 달리 고객정보DB가 제3자에게 제공될 여지가 있으므로 ‘개인(신용)정보 제공 처리 표준동의서‘에 누락된 개인정보의 제3자 제공처 안내를 추가하고, 동 동의서와 홈페이지를 보완하며 개인정보의 제3자 제공시 ‘개인정보 제3자 제공처에 대한 정보 제공 동의여부’를 확인할 수 있도록 전산시스템을 마련하는 등 관련 업무를 합리적으로 개선하시기 바람

고객정보 임의 보관 점검업무 개선 구매DB가 개인정보 보호책임자(CPO)의 승인없이 업무부서의 담당자 PC에 보관․관리되고 있음에도 별도의 점검이 없어 고객정보 유출의 위험이 있으므로 담당자PC의 구매DB 보관․관리의 적정성 여부에 대해서 주기적으로 점검하는 등 관련 업무를 합리적으로 개선하시기 바람

사용자계정 관리 강화 고객정보 접근 관련 추가 권한 부여시 승인절차의 적정성 등에 대해 개인정보 보호책임자(CPO)의 점검이 없고, 기간계 DB서버내 과거 사용자계정(미사용계정) 8개를 방치하고 있으며, 일반업무시스템에서 특정인이 다수의 타사용자계정을 사용하고 있고 사용자계정 PC의 로그인 비밀번호에 작성규칙을 따르지 않고, 보상부서 직원에 대해 모든 사고정보에 대한 조회권한을 부여하는 등 사용자권한이 차등화되어 있지 않으므로 고객정보 접근 관련 추가 권한부여에 대한 승인의 적정성 및 미사용계정 방치여부를 주기적으로 점검하고, 특정인이 다수의 사용자계정을 사용하지 못하도록 제한하며, 사용자계정 PC의 로그인 비밀번호에 작성규칙을 적용하여 보안상 취약점을 줄이고, 보상부서 직원에 대해 조회권한을 차등화하는 등 관련 업무를 합리적으로 개선하시기 바람

손해사정업체 등 외주업체 및 재보험 계약에 대한 통제 강화 손해사정 및 재보험 계약시 고객정보(성명․상호, 주소, 연락처 등)를 암호화하지 않은 상태로 제공(팩스(서면), 이메일 등)하고 있고, 손해사정업체 직원의 고객정보 조회실적을 관리하고 있으나, 고객정보 조회 관련 ‘조회목적 및 용도 등’에 대한 기록․관리를 하고 있지 않으므로 손해사정업체 등 외주업체에 대한 고객정보 제공시 이를 암호화하고, 손해사정업체 직원의 고객정보 조회시 조회목적 및 용도가 기록․관리되도록 전산시스템을 보완하는 등 관련 업무를 합리적으로 개선하시기 바람 또한 국내․외 재보험사와의 재보험 계약시 고객정보 유출에 따른 법적 책임을 명시한 계약내용이 미비하므로 재보험 계약서에 고객정보 유출에 따른 법적 책임을 명기하는 등 업무를 합리적으로 개선하시기 바람

외주업체에 대한 고객정보 관리․감독 강화 개인정보 보호책임자(CPO) 주관하에 전담부서에서 손해사정업체 등 외주업체의 고객정보 관리실태와 외주업체에서 다른 업체로 업무위탁시 고객정보 관리 여부를 주기적으로 점검하고는 있으나, 서면점검 등 형식적으로 이루어지고 있고 세부점검기준이 미비되어 있으므로 손해사정업체 등 외주업체 및 위탁업체의 고객정보 관리에 관한 세부점검기준을 마련하고 현장점검을 강화하는 등 실질적인 관리․감독이 이루어질 수 있도록 관련 업무를 합리적으로 개선하시기 바람

해킹사고 방지시스템 운영 강화 외부인이 인터넷을 통해 전산시스템 접속시 DMZ구간(중립지대, Demilitarized Zone)을 통해 내부 전산망 연결을 허용함에 따라 해킹 위험에 노출되어 있으므로 DMZ구간에서 내부 네트워크 접근을 차단하여 해킹사고 위험을 방지하는 등 관련 업무를 합리적으로 개선하시기 바람

전산자료 등 반출․입 및 전산실 운영 통제 강화 IT부서 및 전산실에 전산자료, 전산기기(보조저장매체 포함)의 반출․입 통제를 강화하기 위해 보안검색대 등을 설치․운영하고 본사와 분리되어 있는 전산센터 등에 대한 내부통제 강화를 위해 전산실 운영현황 보고 주기를 월단위에서 주단위로 단축․운영하는 등 관련 업무를 합리적으로 개선하시기 바람