미래에셋생명보험주식회사 금감원 경영유의사항 · 2018-10-02

경영유의사항 등 공개

경영유의사항 등 공개

1. 금융기관명 : 미래에셋생명보험㈜

2. 제재조치일 : 2018. 10. 2.

3. 제재조치내용

제재 대상

제재 내용

기 관

• 개선사항 6건

제재 대상

제재 내용

기 관

• 개선사항 6건

4. 제재대상사실

가. 개선사항

(1) IT부문 감사업무 불합리

감사실은 2015년부터 2018년 기간 중 IT부문에 대한 총 9회 감사를 실시하였으나, 2016년 이후 IT조직 및 예산 운영실태, IT운영위원회 업무현황 및 시스템 운영 안전성 등 IT부서 업무전반에 대한 종합감사를 실시하지 않았고, IT내부통제 및 정보보호 관련 사항에 대해서만 ‘IT내부감사협의제도 관련 부문감사’로 IT감사를 실시하였으며, 아울러, ‘IT감사업무편람’에 따르면 효율적인 IT감사를 위해 감사실은 일상감사 주요 점검대상에 대해 월 1회 이상 점검하여야 하나, 검사대상기간 중 접근권한통제 및 프로그램 변경통제 등 IT부문 일상감사항목 일부에 대해서는 일상감사를 실시하지 않았음 또한, IT본부는 본부는 자체감사를 실시하고 있으나, CCO(CISO)본부는 정보보호관련 업무를 수행하는 정보보호팀에 대한 자체감사를 수행하지 아니하였으므로 IT관련 부서 업무 전반에 대해 주기적으로 종합감사를 실시하고, 중요 일상감사항목에 대한 점검이 누락되지 않도록 하는 한편, 정보보호업무에 대한 자체감사를 실시하는 등 IT부문 내부통제 업무를 개선할 필요

(2) 舊 PCA시스템에 대한 사용통제 미흡

회사는 PCA생명을 합병하면서 PCA생명 전산자료를 회사 전산시스템에 이관하여 사용하고, 과거데이터 확인 등을 이유로 舊 PCA생명 전산시스템 중 일부에 대해 조회 권한만을 부여하여 운영하고 있으나, 舊 PCA생명 전산시스템의 ◦◦접속내역 및 ◦◦◦◦, ◦◦◦◦◦ 조회내역 등에 대한 작업 모니터링 및 사후점검을 실시하지 않는 등 통제가 미흡하므로 舊 PCA생명 전산시스템 사용을 종료하기 전까지 전산시스템의 접근 및 데이터 조회내역에 대한 모니터링 및 점검을 실시하는 등 관리통제 업무를 개선할 필요

(3) 전산원장 통제절차 불합리

전산원장 변경 관련 제3자 확인 절차 및 변경 전후 내용 기록 등의 내용이 포함된 전산원장 변경절차를 사내 시행문을 통해 운영하고 있으나, 전산원장 변경에 관한 절차를 내규 또는 매뉴얼 등을 통해 관리하지 아니하여 현재 운용 중인 변경 전후내용 자동기록 방법 등이 현행화되지 않는 등 체계적인 관리가 필요하고 전산원장 변경내용의 정당여부에 대한 제3자 확인업무를 수행하면서 금융사고의 개연성이 높은 일부 DB 일부 데이터에 대한 정당성 확인을 강제화하고 있으나, 그 외의 변경항목에 대해서는 신청자가 제3자 확인 여부를 임의로 선택할 수 있어 전산원장 변경에 대한 확인 절차가 미흡할 우려가 있어 전산원장 변경 대상, 변경내용의 정당여부에 대한 제3자 확인 등을 포함한 전산원장 변경 통제 관련 내규 또는 매뉴얼을 마련ㆍ운영하고, 전산원장 변경의 정당여부에 대한 확인범위를 확대하는 등 전산원장 통제절차를 개선할 필요

(4) 백업정책 수립절차 및 백업미디어 관리 불합리

내규 ｢백업 및 복구 운영 지침｣에 따르면 백업정책 수립·변경시 어플리케이션 담당자와 백업담당자가 백업 범위, 수행주기 등 백업 수준을 정하여 부서장의 승인을 득해야 하고, 백업미디어 보유현황을 관리하여 매월 부서장에게 보고해야 하나, 백업정책 수립·변경시 부서장 승인 없이 담당자 간의 협의에 의해서만 정책을 설정·운용하고 있고, PCA생명과 통합된 이후 舊 PCA생명의 백업미디어 보유현황을 관리하지 않아 백업미디어가 분실 또는 훼손될 우려가 있으므로 백업정책 수립 및 변경에 대해 부서장 승인 절차를 마련ㆍ운영하고, 舊 PCA생명 백업미디어를 보유현황에 포함하여 관리하는 등 백업미디어 관리업무를 개선할 필요

(5) 데이터베이스 개인정보보호 업무 불합리

고객정보 보호를 위해 데이터베이스 내 주민등록번호, 성명, 이메일, 주소 및 계좌번호 등 주요 개인정보를 마스킹하여 저장하고 있으나, 일부 필드에 대해서는 성명, 주민등록번호 등에 대한 마스킹 처리가 누락되어 있고, 데이터베이스 직접 접속으로 인한 정보유출을 차단하기 위해 마스킹 해제, 주민등록번호 ◦◦건 이상 조회 또는 조회내용의 ◦◦ 이상 복사시 부서장 결재를 거치도록 통제절차를 마련하고 있으나, DB관리자 및 일부 개발자에게는 동 통제절차를 적용하지 않고 있어 동 직원들에 의해 과도한 고객정보 조회 및 정보유출 사고 발생 등이 우려되므로 마스킹 적용이 누락되지 않도록 데이터베이스 개인정보 현황에 대해 정기적으로 점검하고, 개인정보 보호 관련 통제절차 적용이 누락되지 않도록 관리하는 등 데이터베이스 개인정보보호 업무를 개선할 필요

(6) 정보보호시스템 보안정책 운영 불합리

정보유출 방지를 위해 문서암호화 시스템(DRM) 및 개인정보 유출차단 시스템을 운영하고 있으나, DRM을 통해 암호화된 문서내용을 암호화 적용이 되지 않은 문서로 붙여넣는 기능을 차단하지 아니하고, 문서파일 저장시 ◦◦를 변경하면 DRM 적용이 누락되는 문제가 있으며 DRM 복호화시 사전 결재를 통해 기간을 특정하여 복호화 권한을 부여받고 있으나, 일부직원은 적정한 사유 없이 복호화 권한을 장기간 부여하는 등 복호화 권한 관리통제를 소홀히 하였으며 이메일 외부 발송시 개인정보 유출차단 시스템을 통하여 주민등록번호 등 개인정보가 포함된 파일을 첨부할 경우 책임자의 사전 결재를 득하도록 통제하고 있으나, 이메일 본문과 첨부파일 중 ◦◦◦파일 및 암호가 지정된 압축파일 등에 대해서는 동 통제정책이 적용되지 않아 이메일을 통해 개인정보 등이 외부에 유출될 우려가 있으므로 DRM 예외적용 정책을 최소화하고, 이메일 발송시 첨부파일 및 본문에 대한 개인정보 유출통제를 강화하는 등 관련 정보보호시스템에 대한 보안정책 운영을 개선할 필요