농협손해보험주식회사 검사결과제재 (2013-12-04)
금융감독원 · 2013-12-04 · 금융감독원 제재
핵심 정리
공식 원문 구조화 · 문장 임의 생성 없음
제재조치
기 관 기관주의 임 원 주의 2명 직 원 견책 3명, 주의 1명
주요 위반사항
IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생
IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생
부적절한 IT인력 운용으로 외부주문 통제 관리 부적정 「전자금융거래법」제21조, 제21조의2 및「전자금융감독규정」제7조, 제8조에 의하면 금융기관은 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 총자산과 종업원 수에 따라 임원으로 지정하여야 하며, 외부주문 등에 관한 계약을 체결하는 때에는 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖추어야 하는데도, 농협손해보험은 임원이 아닌 직원을 정보보호최고책임자로 임명하였고, 중앙회에 위탁한 IT업무를 적절히 통제 관리하기 위한 자체 인력을 충분히 갖추지 아니하여 중앙회가 정보보호 업무를 소홀히 하였음에도 이에 대한 통제 관리를 적절히 수행하지 못하게 되는 원인을 제공하였음
중앙회에 위탁한 IT운영업무에 대한 관리 소홀 「전자금융거래법」제21조 및「전자금융감독규정」제7조, 제22조에 의하면 금융기관은 정보처리시스템의 안정성 및 효율성 확보를 위하여 전자금융업무와 관련된 외부주문에 대한 감리 기준 등을 포함한 정보처리시스템 감리 지침을 작성 운용하여야 함에도, 농협손해보험은 중앙회의 IT업무 운영에 대한 별도의 감리지침을 마련하지 않았을 뿐 아니라, 이에 대한 감리도 실시하지 않았으며, 중앙회의 IT업무 운영실태 등에 대한 관리 감독을 실시하지 아니하였음
외부주문에 대한 보안대책, 비상대책 미수립 및 점검 미실시 「전자금융거래법」제21조, 전자금융감독규정 제7조, 제23조, 제60조에 의하면 금융 기관은 외부주문을 하는 경우 장애·재해·파업·테러 등에 대비하여 업무지속성 확보방안 및 비상대책을 수립하여야 하고, 접근매체 위․변조, 해킹, 개인정보유출 등에 대비한 보안 대책을 수립하여야 하며, 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립․운용하여야 하고, 자체적인 보안성 검토 및 정기 보안점검을 실시하여야 하는데도, 농협손해보험은 장애·재해 등에 대비한 업무지속성 확보방안을 마련하지 아니하였고, 전자적 침해 등에 대비한 자체 비상대책 및 보안대책을 수립하지 아니하였으며, 중앙회에 대한 내부통제방안을 마련하지 않았고, IT운영업무를 중앙회에 위탁하면서 자체적인 보안성 검토를 실시하지 않았으며 위탁 이후에도 보안대책 이행현황에 대해 정기 점검을 실시하지 않았음
3.20 전산 해킹사고 이후 대응 불철저 2013.3.20. 외부해킹으로 전산사고가 발생하여 금융회사로서의 공신력이 크게 훼손 되었음에도 중앙회에 대한 별도의 조사 감사 등의 실효성 있는 조치를 취하지 아니하여, 인터넷 금융거래서비스가 중단되는 장애가 추가로 발생하였음
전산데이터 백업 및 소산 관리 부적정 농협손해보험은 중앙회의 백업 및 소산업무가 적절하게 운영되지 아니함에도 이에 대한 통제 관리 업무를 소홀히 하여 백업자료가 훼손된 사실을 인지하지 못하였음
용역계약관리 불철저 농협손해보험은 ◆◆과 ▦▦시스템 구축 프로젝트 관리와 관련한 용역계약을 체결 함에 있어 ◆◆의 인력이 이미 투입되었으나, 인력투입 전에 관련 계약을 체결하지 아니 하고 기간을 소급하여 용역계약을 체결하였고, 2013.3.15부터 2단계 사업이 시작되어 ▦▦시스템 인력이 투입되었음에도, 검사 종료일 현재까지 2단계 계약을 체결하지 아니하여 향후 소급계약이 불가피하도록 계약 절차를 불합리하게 운영하였음
위반사항 1
IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생
위반사항 1 · 확인된 사실
IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생
부적절한 IT인력 운용으로 외부주문 통제 관리 부적정 「전자금융거래법」제21조, 제21조의2 및「전자금융감독규정」제7조, 제8조에 의하면 금융기관은 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 총자산과 종업원 수에 따라 임원으로 지정하여야 하며, 외부주문 등에 관한 계약을 체결하는 때에는 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖추어야 하는데도, 농협손해보험은 임원이 아닌 직원을 정보보호최고책임자로 임명하였고, 중앙회에 위탁한 IT업무를 적절히 통제 관리하기 위한 자체 인력을 충분히 갖추지 아니하여 중앙회가 정보보호 업무를 소홀히 하였음에도 이에 대한 통제 관리를 적절히 수행하지 못하게 되는 원인을 제공하였음
중앙회에 위탁한 IT운영업무에 대한 관리 소홀 「전자금융거래법」제21조 및「전자금융감독규정」제7조, 제22조에 의하면 금융기관은 정보처리시스템의 안정성 및 효율성 확보를 위하여 전자금융업무와 관련된 외부주문에 대한 감리 기준 등을 포함한 정보처리시스템 감리 지침을 작성 운용하여야 함에도, 농협손해보험은 중앙회의 IT업무 운영에 대한 별도의 감리지침을 마련하지 않았을 뿐 아니라, 이에 대한 감리도 실시하지 않았으며, 중앙회의 IT업무 운영실태 등에 대한 관리 감독을 실시하지 아니하였음
외부주문에 대한 보안대책, 비상대책 미수립 및 점검 미실시 「전자금융거래법」제21조, 전자금융감독규정 제7조, 제23조, 제60조에 의하면 금융 기관은 외부주문을 하는 경우 장애·재해·파업·테러 등에 대비하여 업무지속성 확보방안 및 비상대책을 수립하여야 하고, 접근매체 위․변조, 해킹, 개인정보유출 등에 대비한 보안 대책을 수립하여야 하며, 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립․운용하여야 하고, 자체적인 보안성 검토 및 정기 보안점검을 실시하여야 하는데도, 농협손해보험은 장애·재해 등에 대비한 업무지속성 확보방안을 마련하지 아니하였고, 전자적 침해 등에 대비한 자체 비상대책 및 보안대책을 수립하지 아니하였으며, 중앙회에 대한 내부통제방안을 마련하지 않았고, IT운영업무를 중앙회에 위탁하면서 자체적인 보안성 검토를 실시하지 않았으며 위탁 이후에도 보안대책 이행현황에 대해 정기 점검을 실시하지 않았음
3.20 전산 해킹사고 이후 대응 불철저 2013.3.20. 외부해킹으로 전산사고가 발생하여 금융회사로서의 공신력이 크게 훼손 되었음에도 중앙회에 대한 별도의 조사 감사 등의 실효성 있는 조치를 취하지 아니하여, 인터넷 금융거래서비스가 중단되는 장애가 추가로 발생하였음
위반사항 1 관련 규정
｢전자금융거래법｣ 제21조, 제21조의 2 ｢전자금융감독규정｣ 제7조, 제8조, 제22조, 제23조, 제60조
위반사항 2
전산데이터 백업 및 소산 관리 부적정
위반사항 2 · 법적 기준
「전자금융거래법」제21조, 전자금융감독규정 제7조, 제8조, 제13조 및 제60조에 의하면 금융기관은 외부주문 등의 경우에 업무지속성을 위한 중요 전산자료의 백업자료 보존 등 백업대책을 수립하여야 하며, 전산자료의 파괴 등을 방지하기 위하여 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고 백업내역을 기록·관리 하고 해당 백업 전산자료에 대하여 정기적으로 검증하도록 외부주문업체를 통제 하여야 함
위반사항 2 · 확인된 사실
농협손해보험은 중앙회의 백업 및 소산업무가 적절하게 운영되지 아니함에도 이에 대한 통제 관리 업무를 소홀히 하여 백업자료가 훼손된 사실을 인지하지 못하였음
위반사항 2 관련 규정
｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제7조, 제8조, 제13조, 제60조
위반사항 3
용역계약관리 불철저
위반사항 3 · 법적 기준
「전자금융거래법」제21조, 전자금융감독규정 제7조, 제21조에 의하면 금융기관은 정보처리시스템 구축 계약 체결 시에 객관적인 업체 선정 기준 및 절차를 마련·운용하며, 공정하고 합리적인 예정가격 산출 기준을 수립 적용하여야 하고, 계약이행에 필요한 내용을 포함한 계약서 작성 기준을 수립·운용 하여야 함
위반사항 3 · 확인된 사실
농협손해보험은 ◆◆과 ▦▦시스템 구축 프로젝트 관리와 관련한 용역계약을 체결 함에 있어 ◆◆의 인력이 이미 투입되었으나, 인력투입 전에 관련 계약을 체결하지 아니 하고 기간을 소급하여 용역계약을 체결하였고, 2013.3.15부터 2단계 사업이 시작되어 ▦▦시스템 인력이 투입되었음에도, 검사 종료일 현재까지 2단계 계약을 체결하지 아니하여 향후 소급계약이 불가피하도록 계약 절차를 불합리하게 운영하였음
위반사항 3 관련 규정
｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제7조, 제21조
공식 원문 전체 보기
제재내용 공개안
금융기관명 : 농협손해보험
제재조치일 : 2013.12.4.3. 제재조치내용 제재대상 제재내용 기 관 기관주의 임 원 주의 2명 직 원 견책 3명, 주의 1명
제재대상사실
문책사항
IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생
부적절한 IT인력 운용으로 외부주문 통제 관리 부적정 「전자금융거래법」제21조, 제21조의2 및「전자금융감독규정」제7조, 제8조에 의하면 금융기관은 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 총자산과 종업원 수에 따라 임원으로 지정하여야 하며, 외부주문 등에 관한 계약을 체결하는 때에는 자체적으로 통제가 가능하도록 회사내부에 조직과 인력을 갖추어야 하는데도, 농협손해보험은 임원이 아닌 직원을 정보보호최고책임자로 임명하였고, 중앙회에 위탁한 IT업무를 적절히 통제 관리하기 위한 자체 인력을 충분히 갖추지 아니하여 중앙회가 정보보호 업무를 소홀히 하였음에도 이에 대한 통제 관리를 적절히 수행하지 못하게 되는 원인을 제공하였음
중앙회에 위탁한 IT운영업무에 대한 관리 소홀 「전자금융거래법」제21조 및「전자금융감독규정」제7조, 제22조에 의하면 금융기관은 정보처리시스템의 안정성 및 효율성 확보를 위하여 전자금융업무와 관련된 외부주문에 대한 감리 기준 등을 포함한 정보처리시스템 감리 지침을 작성 운용하여야 함에도, 농협손해보험은 중앙회의 IT업무 운영에 대한 별도의 감리지침을 마련하지 않았을 뿐 아니라, 이에 대한 감리도 실시하지 않았으며, 중앙회의 IT업무 운영실태 등에 대한 관리 감독을 실시하지 아니하였음
외부주문에 대한 보안대책, 비상대책 미수립 및 점검 미실시 「전자금융거래법」제21조, 전자금융감독규정 제7조, 제23조, 제60조에 의하면 금융 기관은 외부주문을 하는 경우 장애·재해·파업·테러 등에 대비하여 업무지속성 확보방안 및 비상대책을 수립하여야 하고, 접근매체 위․변조, 해킹, 개인정보유출 등에 대비한 보안 대책을 수립하여야 하며, 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립․운용하여야 하고, 자체적인 보안성 검토 및 정기 보안점검을 실시하여야 하는데도, 농협손해보험은 장애·재해 등에 대비한 업무지속성 확보방안을 마련하지 아니하였고, 전자적 침해 등에 대비한 자체 비상대책 및 보안대책을 수립하지 아니하였으며, 중앙회에 대한 내부통제방안을 마련하지 않았고, IT운영업무를 중앙회에 위탁하면서 자체적인 보안성 검토를 실시하지 않았으며 위탁 이후에도 보안대책 이행현황에 대해 정기 점검을 실시하지 않았음
3.20 전산 해킹사고 이후 대응 불철저 2013.3.20. 외부해킹으로 전산사고가 발생하여 금융회사로서의 공신력이 크게 훼손 되었음에도 중앙회에 대한 별도의 조사 감사 등의 실효성 있는 조치를 취하지 아니하여, 인터넷 금융거래서비스가 중단되는 장애가 추가로 발생하였음 <관련규정>
「전자금융거래법」제21조, 제21조의 2
「전자금융감독규정」제7조, 제8조, 제22조, 제23조 및 제60조
전산데이터 백업 및 소산 관리 부적정 「전자금융거래법」제21조, 전자금융감독규정 제7조, 제8조, 제13조 및 제60조에 의하면 금융기관은 외부주문 등의 경우에 업무지속성을 위한 중요 전산자료의 백업자료 보존 등 백업대책을 수립하여야 하며, 전산자료의 파괴 등을 방지하기 위하여 중요도에 따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고 백업내역을 기록·관리 하고 해당 백업 전산자료에 대하여 정기적으로 검증하도록 외부주문업체를 통제하여야 하는데도, 농협손해보험은 중앙회의 백업 및 소산업무가 적절하게 운영되지 아니함에도 이에 대한 통제 관리 업무를 소홀히 하여 백업자료가 훼손된 사실을 인지하지 못하였음 <관련규정>
「전자금융거래법」제21조
「전자금융감독규정」제7조, 제8조, 제13조 및 제60조
주의사항
용역계약관리 불철저 「전자금융거래법」제21조, 전자금융감독규정 제7조, 제21조에 의하면 금융기관은 정보처리시스템 구축 계약 체결 시에 객관적인 업체 선정 기준 및 절차를 마련·운용하며, 공정하고 합리적인 예정가격 산출 기준을 수립 적용하여야 하고, 계약이행에 필요한 내용을 포함한 계약서 작성 기준을 수립·운용하여야 하는데도, 농협손해보험은 ◆◆과 ▦▦시스템 구축 프로젝트 관리와 관련한 용역계약을 체결 함에 있어 ◆◆의 인력이 이미 투입되었으나, 인력투입 전에 관련 계약을 체결하지 아니 하고 기간을 소급하여 용역계약을 체결하였고, 2013.3.15부터 2단계 사업이 시작되어 ▦▦시스템 인력이 투입되었음에도, 검사 종료일 현재까지 2단계 계약을 체결하지 아니하여 향후 소급계약이 불가피하도록 계약 절차를 불합리하게 운영하였음 <관련규정>
「전자금융거래법」제21조
「전자금융감독규정」제7조, 제21조
문서 기준 관련 조문·시행본
공식 원문·첨부
법적 효력과 최종 내용은 발행기관 원문으로 확인하세요.