보험개발원 금감원 경영유의사항 · 2018-09-18

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 보험개발원(사)

2. 조치일 : 2018. 9. 18.

3. 조치내용

대상

내 용

기관

경영유의사항 1건, 개선사항 4건

대상

내 용

기관

경영유의사항 1건, 개선사항 4건

4. 조치대상사실

가. 경영유의사항

(1) 개인(신용)정보 파기·관리강화

(가) 보험개발원은 개인정보의 처리목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 해당 개인정보를 지체없이 파기해야 하는데도, 1997.2.1.~2015.12.31. 기간 중 보험정보망 인보험통합시스템 운영을 위해 보험회사로부터 수집한 개인정보를 동 서비스가 중단(2016.1.1.)되었음에도 파기하지 않은 채 검사착수일 현재 보관하고 있었으며 다수의 보험회사가 동 정보를 조회할 수 있도록 운영한 사실이 있으므로 앞으로 불필요한 개인정보 파기 및 관리 절차를 강화하여 개인정보가 부당하게 노출 또는 유출되지 않도록 개인정보 통제를 철저히 수행하시기 바람 (나) 보험개발원은 보험사기정보시스템(ICPS) 운영을 위하여 보험회사로부터 수집한 개인신용정보를 보관‧관리하고 동 시스템을 통해 이를 보험회사에게 있어, 동 개인신용정보를 제공받는 보험회사가 관련 법률에서 정하고 있는 개인신용정보 관리방법을 위반하게 될 우려가 있으므로, 앞으로 상거래 관계가 종료한 후 5년이 경과한 개인신용정보를 보험회사에 제공하지 않는 동 개인신용정보 관리를 강화하시기 바람

나. 개선사항

(1) 정보보호시스템 통제·운영 불합리

(가) 내부전산자료 유출을 방지하기 위하여 매체제어시스템을 도입하여 USB 사용을 통제하고, 대용량 파일 반출 등 예외적으로 USB 사용이 필요한 경우에는 지정된 PC를 통하여 USB에 파일을 저장할 수 있도록 운영하고 있으나, 일반 USB 사용이 지정된 PC를 일반 업무용으로도 사용하고 USB 반출내역 관리가 철저하게 이루어지지 않아 동 PC를 통해 내부정보가 외부로 유출될 우려가 있으므로, 앞으로 동 PC에 대한 그룹웨어 접속을 차단하는 등 USB 반출 전용 PC로만 운영하고, 일반 USB로 복사된 파일 내역을 관리 대장 등에 기록하여 적정성을 정기적으로 점검하는 등 USB 운영 및 반출 절차 등을 개선하시기 바람 (나) 문서암호화시스템(DRM)을 운영하고 개인정보가 포함된 전자문서 복호화를 하는 경우 팀장 승인절차를 거치도록 하고 있으나, 일부 직원만 팀장 승인절차를 거치고 있을 뿐, 다수의 직원은 본인이 직접 전자문서를 복호화할 수 있는 승인 권한을 가지고 있어 자가 승인이 가능하므로 앞으로 DRM 복호화 권한 부여에 대한 구체적인 기준을 마련하고, 자가승인이 가능한 인원을 적정하게 통제하는 등 중요 전자문서가 통제절차 없이 복호화되지 않도록 관련 프로세스를 개선하여 운영하시기 바람

(2) 외부주문업체에 의한 시스템 개발업무 통제 불합리

외부주문등에 의한 정보처리시스템의 개발업무에 사용되는 업무장소는 내부 업무용과 분리하여 운영하고 있으나, 개발업무를 담당하는 일부 외부 주문업체 직원이 운영계 시스템 등에 접근할 수 있는 등 통제가 미흡하므로 외부주문등에 의한 개발업무 수행시 외부 주문업체 직원이 운영시스템이 아닌 개발용 정보처리시스템을 이용할 수 있도록 프로그램 개발환경을 운영환경으로부터 철저히 분리하고 통제 절차를 강화하여 운영하시기 바람

(3) 재해복구관련 시스템 구축 및 훈련관리 불합리

보험개발원은 원격지(경기도 이천)에 재해복구센터를 갖추고 비상계획에 따른 재해복구훈련을 실시하고 있으나, 대고객 서비스인 카히스토리서비스* 관련 시스템의 재해복구시스템이 누락되어 있고, 비상계획에 재해복구훈련의 기획, 범위, 실행, 결과 등에 대한 세부내용이 마련되어 있지 않아 체계적인 관리가 미흡하므로,

* 중고차 거래시 자동차 사고기록 등을 확인

동 서비스 관련 시스템에 대한 업무연속성 확보방안을 마련하고, 비상계획과 관련된 세부지침 등을 마련․운영하시기 바람

(4) IT자체감사 관련 내규 관리 불합리

감사팀에서 2016년~2017년 기간 중 개인정보보호 내부실태에 대한 점검을 총 4회 실시하고, 2015년~2017년 기간 중 정보기술부문 전반에 대하여 점검을 실시하고 있으나, 프로그램 운영시스템 적용 및 일괄작업 운영 등에 대한 IT자체감사 규정 및 체계가 마련되어 있지 않아 IT내부통제 수행이 소홀해질 우려가 있으므로 앞으로 IT자체감사 내규 등을 마련하여 정기적으로 IT자체감사를 실시하시기 바람