농협은행주식회사 검사결과제재 (2014-10-21)

고객정보 보호를 위한 안전성 보호대책 불이행 등에 의한 고객정보 유출사고 발생 ｢은행법｣ 제23조의3, ｢은행법시행령｣ 제17조의2, ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제7조, 제13조, 제60조, ｢신용정보의이용및보호에관한법률｣ 제19조, 제20조, ｢신용정보의이용및보호에관한법률시행령｣ 제16조, 제17조 및 은행내규 ｢전산업무규정｣ 제7조, 제16조, ｢전산업무준칙｣ 제7조, ｢내부통제규정｣ 제5조, 제10조 등에 의하면 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보시스템을 안전하게 보호하기 위하여 관계법령, 내부통제기준 등 관련법규를 충실히 이행하여야 하는데도 2012.5.16.〜12.28. 기간중 ◩◩은행㈜ ◇◇◇◇관리부의 ●●부정사용방지시스템(◎◎◎) 모형 업그레이드를 위한 프로젝트 수행과정에서 다음과 같이 안전성 보호대책을 불이행하거나 내부 관리․감독을 소홀히 하여 동 프로젝트 총괄책임자인 ▣▣▣㈜ 소속직원 ◍◍◍에 의하여 2012.6.18.경 신용카드회원등의 신용정보 7,141,604건을 포함한 고객정보 24,312,772건, 2012.10.18.경 신용카드회원등의 신용정보 22,507,227건을 포함한 고객정보 26,676,808건이 휴대용저장매체(USB)에 복사‧저장되어 외부로 유출되는 결과를 초래하였음 ㈎ 보안성 검토 미실시 등 전산개발 절차 불이행 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제60조, 은행내규 ｢전산업무규정｣ 제7조, ｢전산업무준칙｣ 제7조, ｢전산업무처리지침｣ 제7장 제4절 및 제6절 등에 의하면 금융회사는 전산개발을 위한 외부주문등의 경우 업무부서가 보안성 검토를 실시하고 정기적인 보안점검을 하여야 하며 전산개발이 필요한 업무부서는 개발요청 전에 전산부서와 개발대상 범위 등에 대하여 사전 협의하여야 하는데도 2012.4월경 ◎◎◎ 모형 업그레이드를 위한 프로젝트 관련 검토시 ◇◇◇◇관리부는 전산부서에 보안성 검토를 요청하거나 전산부서와 개발대상 범위 등을 사전 협의하지 않았고, 전산개발이 필요한데도 자체부서 사업으로 진행하면서 보안점검도 실시하지 아니하였음 ㈏ 신원조회 미실시 등 외부주문등에 대한 기준 미준수 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제60조 제1항 제13호에 의하면 금융회사는 전산개발을 위한 외부주문등의 경우 업무수행인력에 대하여 사전 신원조회를 실시하거나 대표자의 신원보증서를 징구하여야 하는데도 2012.5.16. ◇◇◇◇관리부는 동 프로젝트 착수시 외주용역직원(▣▣▣㈜ 직원 4명, 프리랜서 2명)에 대하여 신원조회를 실시하거나 외주용역업체 대표이사의 신원보증서를 징구하지 아니하였음 ㈐ 고객정보 미변환 등 전산자료 보호대책 불이행 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조, 은행내규 ｢전산업무규정｣ 제16조, ｢전산업무준칙｣ 제35조 및 ｢전산업무처리지침｣ 제1장 제15절 제7조 등에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 사용을 금지하되 부득이 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하여야 하고, 단말기에 주요정보를 보관하거나 단말기를 공유하여서는 아니 되는데도 2012.5.16.〜12.28. 기간중 ◇◇◇◇관리부는 외주용역직원에게 12회에 걸쳐 대량의 고객정보를 제공하면서 테스트데이터로 변환하지 아니하였고 외주용역직원의 단말기에 대량의 고객정보가 보관되어 있어 정보유출 가능성이 있었는데도 공유폴더 설정을 제한하거나 통제하지 아니하였음 ㈑ 보안프로그램 미설치 등 단말기 보호대책 불이행 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제12조, 은행내규 ｢전산업무규정｣ 제16조, ｢전산업무준칙｣ 제29조 및 ｢전산업무처리지침｣ 제7장 제16절 제5조 등에 의하면 금융회사는 내‧외부직원이 단말기에서 업무와 무관한 정보가 저장된 보조기억매체에 접근하는 것을 통제하여야 하는데도 2012.5.16.〜12.28. 기간중 ◇◇◇◇관리부는 외주용역직원이 반입한 단말기 총 9대(PC 7대, 노트북 2대)중 1대에 대해 단말기 보안프로그램을 정보유출 시점 이후인 2012.11.20.에 지연 설치하였고 2012.8.9. 외주용역직원의 PC(4대)에 ◐◐◐ ◐◐을 허용함으로써 동 PC에서 ◈◈◈◈◈◈◈로 쓰기(복사․저장)가 가능해져 정보유출 가능성이 증대되었고, 2012.8월～9월중 외주용역직원이 단말기 4대의 운영체제(Windows)를 재설치하는 과정에서 기설치된 보안프로그램이 삭제되어 보안기능이 없어졌는데도 이에 대한 보호대책을 마련하지 아니하였음 ㈒ 외장하드디스크 등 전산장비 반출입 통제 부적정 ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조, 은행내규 ｢전산업무규정｣ 제16조, ｢전산업무준칙｣ 제29조 및 ｢전산업무처리지침｣ 제7장 제16절 제8조 등에 의하면 금융회사는 전산장비를 반출입할 경우 업무담당자가 ‘장비반출입증’을 작성하고 고객정보의 저장 유무 및 PC 포맷 여부를 점검한 후 업무담당 책임자 및 정보보호담당자의 승인을 받아야 하는데도 2012.5.16.～12.28. 기간중 ◇◇◇◇관리부는 외주용역직원의 단말기 총 9대(PC 7대, 노트북 2대)를 반출입하면서 ‘장비반출입증’상의 정보보호담당자 및 PC 포맷 여부 확인란에 확인서명을 받지 않았고 외주용역직원이 반입한 ◈◈◈◈◈◈◈(10개)에 대해서는 ‘장비반출입증’도 작성하지 않고 포맷 여부도 제대로 확인하지 않는 등 ◈◈◈◈◈◈◈ 등 전산장비에 대한 반출입 통제를 소홀히 하였음 ㈓ 신용정보관리‧보호인의 점검업무 소홀 ｢신용정보의이용및보호에관한법률｣ 제19조 및 제20조, ｢신용정보의이용및보호에관한법률시행령｣ 제16조 및 제17조, ｢신용정보업감독규정｣ 제20조 [별표3] 등에 의하면 은행은 신용정보전산시스템의 안전보호를 위하여 기술적·물리적·관리적 보안대책을 세워야 하고 신용정보관리․보호인은 임직원이 신용정보관리‧보호 관련 법령 및 내부관리규정 등을 준수하고 있는지를 점검하도록 되어 있는데도 2012.9.20. 신용정보조회 관련 내부통제 준수여부를 점검하면서 ◇◇◇◇관리부의 ◎◎◎ 모형 업그레이드시 외주용역직원이 휴대용저장매체를 사용하는 것과 관련하여 개인신용정보를 디스켓, 콤팩트디스크 등 저장매체에 저장하는 경우 개인신용정보취급자의 사전 승인을 받았는지, 이에 필요한 내부시스템이 구축되어 있는지 여부 등을 점검하지 아니하였음 ㈔ 개인정보 보호책임자의 감독업무 소홀 ｢개인정보보호법｣ 제31조 및 은행내규 ｢개인정보보호준칙｣ 제20조, 제21조, 제24조 등에 의하면 개인정보 보호책임자는 개인정보의 유출 방지를 위한 내부통제시스템 구축, 개인정보파일의 보호 및 관리‧감독 등의 업무를 수행하도록 되어 있는데도 개인정보 보호책임자는 ◇◇◇◇관리부 개인정보보호담당자의 2012.3분기 및 4분기 내부통제이행사항 자체점검 결과보고서에 ◎◎◎ 모형 업그레이드와 관련하여 고객정보 테스트시 일부 변조 등의 방법을 적용하였는지에 대한 점검기록이 없는데도 이에 대한 적절한 조치를 취하지 아니하였음 ㈕ 준법감시인의 점검업무 소홀 은행내규 ｢舊 내부통제규정｣ 제3조, 제18조, 제21조 및 ｢준법감시업무규정｣ 제4조 등에 의하면 준법감시인은 임직원의 법규준수 여부 점검 및 시정조치 등을 하도록 되어 있는데도 준법감시인은 ◇◇◇◇관리부 준법감시담당자의 2012.3분기 및 4분기 내부통제이행사항 자체점검 결과보고서에 ◎◎◎ 모형 업그레이드와 관련하여 개인신용정보의 저장매체 저장시 사전 승인절차 준수 및 전산자료 반출입 통제 적정성 여부 등에 대한 점검기록이 없는데도 이에 대한 적절한 조치를 취하지 아니하였음 ㈖ 자체 감사업무 불철저 은행내규 ｢감사위원회규정｣ 제15조, ｢상근감사위원직무규정｣ 제3조, 제4조, 제6조, ｢직제규정｣ 제16조, 舊 ｢업무분장준칙｣ 제38조 등에 의하면 상근감사위원은 ♣♣부를 통할하고 ♣♣부는 각 조직단위에 대한 감사를 실시하여야 하고 2012.9.17.～9.26. 기간중 ♣♣부는 ◇◇◇◇관리부에 대한 정기감사를 통해 ‘신용카드부정사용 사후관리 업무역량 강화방안 마련’을 현지개선사항으로 지적하였고, 지적사항의 현황란에 당시 각 카드사가 부정사용 관리업무를 중요 영역으로 육성하고 있다는 내용을 적시하였는데도 2012.5.16.부터 ◇◇◇◇관리부가 추진한 ◎◎◎ 모형 업그레이드와 관련하여 고객정보 미변환 사용, ◈◈◈◈◈◈◈의 복사‧저장 기능에 따른 단말기 보호대책 미이행, 외주용역업체의 단말기에 대한 보안프로그램 미설치 등의 법규위반에 대하여는 적발하지 못하였음 ㈗ 정보보호최고책임자의 정보보호 점검업무 불철저 ｢전자금융거래법｣ 제21조의2 등에 의하면 정보보호최고책임자(CISO)는 금융회사 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치 등에 대한 관리‧감독 총괄업무를 수행하여야 하는데도 2012.5.16. 동 프로젝트 착수 이후, ◩◩은행㈜ 정보보호최고책임자는 ◇◇◇◇관리부의 고객정보 미변환 사용, 일부 단말기 보안프로그램 지연설치, 전산장비 반출입 통제 불철저 등의 법규 위반사항에 대하여 인력 부족(겸임 팀장 1명, 팀원 1명)을 이유로 보안실태를 점검하지 않았고 임직원에 대한 정보보호 교육도 실시하지 않는 등 정보보호 업무를 소홀히 하였음 < 관련규정 >

개인정보 분리 보존방안 마련 ｢개인정보보호법｣ 제2조 및 제21조에 의하면 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인 등 개인정보처리자는 개인정보를 파기하지 아니하고 보존하여야 하는 경우 해당 개인정보는 다른 개인정보와 분리하여 저장‧관리하여야 하고 은행내규 ｢개인정보보호준칙｣ 제9조에 의하면 개인정보를 파기하지 아니하고 보존하여야 하는 경우 법령에 따라 해당 개인정보를 보존한다는 것을 표시하도록 되어 있는데도 이번 검사착수일(2014.1.13.) 현재 고객정보의 종류별 보유기간, 거래가 종료된 고객정보의 분리 보존 등에 대하여 정한 바가 없으므로 이에 대한 구체적인 방안을 마련하시기 바람 (관련부서 : 준법지원부)

외주주문등에 대한 프로젝트 관리체계 불합리 ｢전자금융감독규정｣ 제60조 등에 의하면 금융회사가 외주주문등에 의해 개발업무를 추진할 경우 계약서상에 보안관련 준수사항을 명시하여야 하고 계획 수립시 자체 보안성검토 및 정기 보안점검을 실시하여야 하며 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제 방안을 수립 운영하는 등 외주용역직원에 의한 개인정보유출 방지를 위한 보안대책을 수립하여야 하는데도 이번 검사대상기간(2012.1.1.～2014.3.28.)중 사업부서가 전산개발 업무를 전산부서와 사전협의 없이 외주용역업체와 직접 계약을 체결하여 사업을 추진하면서 계약서상에 보안 준수사항을 명시하지 않거나 자체 보안성 검토를 실시하지 않는 등 외주용역직원에 대한 보안통제를 소홀히 하여 고객정보가 유출된 사례가 있으므로 사업부서가 외주주문등에 의해 추진하는 모든 개발업무는 전산부서와 사전협의를 거치도록 하고 계약서에 보안준수 사항을 명시토록 관련 서식을 개선하는 한편, 사업추진 현황 등을 통합‧관리할 수 있는 전산시스템을 구축하고 사업계획 초기단계부터 정보유출 방지를 위한 자체 보안성 검토를 실시하고, 그 결과 노출된 보안취약점에 대해서는 관리적, 물리적, 기술적 측면에서 강화된 보안대책을 수립할 수 있도록 관련 내규 및 절차를 개선할 필요가 있음 (관련부서 : 정보보호부)

전산기기 반출입 통제 및 관리 강화 ｢전자금융감독규정｣ 제13조, ｢전산업무처리지침｣ 제7장 제16절 제8조 등에 의하면 금융회사는 전산장비를 반‧출입할 경우 ‘장비반출입증’을 작성하여 업무담당책임자, 정보보호담당자 및 고정자산담당자의 승인을 받아야 하고, 단말기 보안프로그램 및 백신 프로그램 설치, 고객정보 저장 유무 및 PC 포맷 실시 여부 등을 점검하여야 하는데도 이번 검사대상기간(2012.1.1.～2014.3.28.)중 사업부서가 전산개발 업무를 자체 사업으로 추진하면서 단말기 보안프로그램 지연설치, 휴대용저장매체 등 전산기기 반출입증 미작성 및 PC 포맷 실시여부 등에 대한 보안통제 업무를 소홀히 하여 대량의 고객정보가 외부로 유출된 사례가 있으므로 외주용역직원 등이 전산개발 및 유지보수 업무를 수행하기 위해 휴대용저장매체를 포함한 전산기기의 반출입이 불가피한 경우에는 단말기 보안프로그램 및 백신프로그램의 설치 여부, 해킹 프로그램의 설치 여부, 전산기기 반출입시 PC 포맷 실시 여부 등을 업무담당책임자 및 정보보호담당자 등이 점검하고 점검결과를 시스템을 통해 승인하도록 전산시스템을 구축할 필요가 있음 (관련부서 : 정보보호부)

개인정보보호 관리체계 미흡 ｢전자금융거래법｣ 제21조, ｢개인정보보호법｣ 제31조, ｢신용정보의이용및보호에관한법률시행령｣ 제17조 등에 의하면 금융회사의 고객정보보호 담당 책임자들은 고객정보 유출방지를 위하여 정보보호대책을 수립‧운용하고 정보보호 실태점검을 통해 고객정보 관리실태를 주기적으로 점검하여야 하는데도 이번 검사대상기간(2012.1.1.～2014.3.28.)중 개인정보보호 업무담당 책임자(CISO, CPO, 신용정보관리‧보호인 등)들이 정보보호 소관업무를 소홀히 하여 고객정보가 외부로 유출된 사례가 있었으며 개인정보보호 업무를 통합‧관리할 수 있는 컨트롤타워 조직이 부재하고 정보보호 실태점검 및 보안대책 수립을 위한 개인정보보호 업무담당 책임자들간의 유기적 협의체가 없어 정보보호 업무가 체계적으로 이루어지지 않고 있으므로 개인정보보호 업무를 총괄하는 컨트롤타워 조직 및 개인정보보호 업무담당 책임자들간의 유기적 협의체를 설치‧운영하고, 동 협의체를 통해 정보보호 실태점검 및 보안대책을 수립하고 그 결과를 정기적으로 경영진에 보고하도록 관련 내규를 개선할 필요가 있음 (관련부서 : 정보보호부)