메리츠화재해상보험 금감원 경영유의사항 · 2016-11-04

경영유의사항 ·개선사항 공개

경영유의사항 ·개선사항 공개

1. 금융회사명 : 메리츠화재(주)

2. 조치일 : 2016. 11. 04.

3. 조치내용

제재대상

제 재 내 용

기 관

개선사항 3건

제재대상

제 재 내 용

기 관

개선사항 3건

4. 조치대상사실

가. 개선사항

(1) 전자금융거래 이용자 정보 관리 미흡

홈페이지 및 모바일 등 사이버창구에서 휴대폰 또는 신용카드 본인인증을 통해 조회 목적의 간편 로그인 기능을 제공하면서 로그인시마다 이용자의 주민등록번호를 입력받고 있으며, 사이버창구에서 휴대전화 번호 변경시 바뀐 전화번호로만 변경 사실을 통보하고 있어, 주민등록번호 노출 최소화 가이드라인*에 부합하지 않고, 휴대폰 번호 임의 변경 등을 통해 금융사기 등의 위험에 노출될 우려가 있으므로

*「보험권 주민번호 과다노출 관행 개선을 위한 가이드라인」(2015.1.1., 손해보험협회 등)에 의하면 본인확인 등 업무수행시 원칙적으로 주민등록번호를 제외한 성명·생년월일·전화번호 등의 정보를 활용하는 등 개인식별정보 노출을 최소화하여야 함 앞으로 사이버창구 로그인시마다 주민등록번호를 입력하지 않아도 본인인증이 가능하도록 하고, 사이버창구에서 휴대전화 번호 변경시 변경 전 전화번호로도 변경 사실을 통보하도록 하는 등 관련 시스템을 개선하시기 바람

(2) 고객정보 접근권한 통제 불합리

내부 ◌◌◌◌ 시스템의 각 화면은 업무별 접근 권한을 부여하여 운영하고 있으나 ‘◌◌◌◌’ 화면의 경우 ◌◌◌◌ 업무와 관계없는 인사총무파트, IT지원파트 등 일부 부서와 직원에게 부여되어 있어, ◌◌◌ 등의 고객정보가 노출될 우려가 있으므로 앞으로 고객정보의 접근 및 조회 권한 부여 등을 재검토하여 업무에 필요한 부서와 직원 등에게만 최소한의 정보가 제공되도록 하는 등 관련 시스템을 개선하시기 바람

(3) 테스트데이터 변환·사용 통제절차 불합리

내규 ｢테스트데이터관리기준｣에 따라 시스템 테스트에 활용되는 고객정보는 ‘테스트데이터 변환 솔루션’을 통하여 주민등록번호 등 민감정보를 변환하여 개발부서에 제공하고 있으나 변환된 테스트데이터에 대한 이용기간, 사용 후 폐기 등에 관련된 절차가 내규에 누락되어 있어 테스트 데이터 이용 및 삭제 관리가 미흡하므로 앞으로 테스트데이터 변환 신청시 이용기간을 명시하고 이용기간이 경과한 테스트데이터는 즉시 삭제하는 절차 등을 내규에 반영하시기 바람