농협은행주식회사 검사결과제재 (2013-12-04)

IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생 ➀부적절한 IT 조직 인력운용으로 외부주문 통제 관리 미흡 「전자금융거래법」제21조의2 및 동법 시행령 제11조의2에 의하면 금융기관은 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 총자산과 종업원 수에 따라 임원으로 지정하여야 하며, 「전자금융감독규정」제8조에 의하면 외부주문 등에 관한 계약을 체결하는 때에는 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖추어야 하고, 정보기술부문 인력은 총 임직원수의 100분의 5이상이 되도록 하고 이를 이행하지 못하였을 경우 그 사유 및 이용자 보호에 미치는 영향 등을 설명한 자료를 해당 금융 기관이 운영하는 홈페이지 등을 통해 매 사업연도 종료 후 1개월 이내에 공시하여야 하는데도, 농협은행은 2012.5월 직원을 정보보호최고책임자로 임명하였고, 중앙회에 위탁한 IT운영업무의 통제․관리에 필요한 자체 조직과 인력을 충분히 갖추지 아니함으로써 중앙회에 대한 통제활동을 적절히 수행하지 못하게 되는 원인을 제공하였으며, 2012.12월 기준 총임직원 대비 IT인력 비율기준을 준수하지 못한데 따른 공시의무도 이행하지 않았음 ➁중앙회에 위탁한 IT운영업무에 대한 관리 소홀 「전자금융감독규정」제22조에 의하면 금융기관은 정보처리시스템의 안정성 및 효율성 확보를 위하여 전자금융업무와 관련된 외부주문에 대한 감리 기준 등을 포함한 정보처리시스템 감리 지침을 작성․운용하여야 하는데도 농협은행은 중앙회의 IT업무 운영에 대한 감리지침을 마련하지 않았을 뿐 아니라 이에 대한 감리도 실시하지 않았으며, 수탁업체인 중앙회의 IT업무 운영실태 등에 대한 관리․감독을 소홀히 하였음 ➂외부주문에 대한 보안대책, 비상대책 미수립 및 점검 미실시 「전자금융감독규정」제23조 제1항에 의하면 금융기관은 장애·재해·파업·테러 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 업무지속성 확보방안을 수립하여야 하고 「전자금융감독규정」제60조 제1항 제4호, 제9호 및 제14호에 의하면 금융기관은 외부주문을 하는 경우 접근매체 위․변조, 해킹, 개인정보유출 등에 대비한 보안대책을 수립하여야 하며, 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립․운용하여야 하며, 자체적인 보안성 검토 및 정기 보안점검을 실시하여야 하는데도, 농협은행은 IT업무 위탁기간 동안 중앙회가 장애복구, 대체사업장 구축 및 유지관리 및 비상대책 등을 담당하도록 하는 등 자체적인 장애관리 및 비상대책 등을 마련하지 아니 하였으며, 해킹, 개인정보유출 등에 대비한 보안대책 및 내부통제방안을 수립하지 않았고, IT운영업무를 중앙회에 위탁하면서 자체적인 보안성 검토를 실시하지 않았으며 위탁 이후에도 보안대책 이행현황 등에 대해 정기 점검을 실시하지 않았음 ➃3.20 전산 해킹사고 이후 대응 불철저 농협은행은 2013.3.20. 외부해킹으로 다수의 단말기 및 자동화기기 가동이 중단되어 금융회사로서의 공신력이 크게 훼손되었음에도 동 사고 이후 중앙회의 IT운영 실태에 대해 별도의 조사ㆍ감사 등의 실효성 있는 조치를 취하지 아니하였음 < 관련규정 >

전산데이터 백업 및 소산 관리 불철저 「전자금융감독규정」제60조 제1항 제8호에 의하면 금융기관은 외부주문 등의 경우에 업무지속성을 위한 중요 전산자료의 백업자료 보존 및 백업설비 확보 등 백업 대책을 수립하여야 하며, 동 규정 제13조 제1항 제8호에 의하면 전산자료의 파괴 등을 방지하기 위하여 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고 백업내역을 기록 관리하여야 하는데도, 농협은행은 외부주문에 대한 은행의 자체 백업대책을 수립하지 않았고, 중앙회가 소산업무를 불합리하게 운영하였음에도 이에 대한 통제 관리를 소홀히 하였음 < 관련규정 >