에이아이에이생명보험 주식회사 금감원 경영유의사항 · 2019-03-25

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : AIA생명보험(주)

2. 조치일 : 2019. 3. 25.

3. 조치내용

대상

내 용

기관

경영유의사항 2건, 개선사항 7건

대상

내 용

기관

경영유의사항 2건, 개선사항 7건

4. 조치대상사실

가. 경영유의사항

(1) IT업무 처리절차 내규화 등을 통한 내부통제 강화

(가) IT업무를 체계적으로 수행하기 위하여 IT규정(○개), IT지침(○개), 표준업무처리절차(○개)를 내규로 지정하여 운영하고 있으나, 비상업무계획(BCP), 재해복구계획(DR), 장애관리절차, IT운영위원회 운영절차 등 IT부문 주요업무처리 절차에 대해 기준·지침 등을 체계적으로 관리하고 있지 않고, 외주인력관리지침에 SLA(서비스수준평가), 재무건전성 평가, 감독원 보고 등의 주요 사항을 포함하지 않았으므로, 비상업무계획 관련 기준 제정 및 외주인력관리지침 개정 등 IT내규 및 지침을 보완하여 운영하시기 바람 (나) IT감리지침 제3조1항에 따르면 ○억 이상의 시스템 또는 대고객서비스에 사용되는 신규시스템 개발사업은 외부기관을 이용하여 감리하도록 정하고 있으나,

○억 미만 IT사업에 대해서는 내부감리절차, 감리방법 등에 대한 체계적인 기준을 마련하지 않았으며, 감리대상 중 온라인창구 재구축 프로젝트에 대해서는 외부감리를 미수행하였으므로 IT감리와 관련한 기준을 체계적으로 재정비하고 동 기준에 따라 전산시스템 구축시 내·외부감리를 철저히 수행하시기 바람

(2) 외부주문 등에 대한 내부통제 강화 필요

외주업체에 시스템 운영업무를 위탁하면서, 외주업체 소속 시스템 관리자에게 시스템의 관리자 권한을 부여하고, 시스템 운영자에게 작업을 수행하게 하면서 □□□, △△△ 수행 권한을 부여하고 있으며, 보안 운영자에게 ○○○시스템의 관리자 권한을 부여하고 있으나, 위험명령어에 대한 실행통제를 하지 않고, 외주 직원의 비정상 업무수행 여부 등에 대한 점검 및 모니터링을 실시하지 않는 등 외주업체 업무수행 내역에 대한 내부통제가 소홀하므로 시스템 관리자 및 시스템 운영자의 위험명령어 실행에 대해 통제방안을 마련하고, 요청 작업 외 비정상 업무수행 여부에 대해 모니터링 및 점검할 수 있는 방안을 마련하여 운영하시기 바람

나. 개선사항

(1) 고객정보 전송 통제 불합리

보험 안내장 발송, 보험금 청구 조사의뢰 등을 위해 외부 위탁업체에 고객정보를 이메일, SFTP 등을 통해 발송하고 있으나, 발송내역을 ‘개인정보 외부제공 관리대장’에 수기로 작성 및 관리하여 발송 내역과 관리장부에 대한 실질적인 확인 및 사후점검 등이 이루어지지 않았으며 대내외 업무용 이메일시스템으로 ○○○ 서비스를 이용하면서 고객정보가 포함된 이메일은 회사 외부로 임의 발송되지 않도록 통제하고 있으나, 고객정보를 압축파일 형태로 첨부하여 발송하는 경우 차단이 되지 아니하여 책임자 승인 없이 고객 개인정보가 무단 발송될 우려가 있으므로 앞으로 외부 위탁업체 등에게 고객정보 발송이 필요한 경우 책임자 승인후에 발송하는 체계를 마련하고, 고객 개인정보가 포함된 이메일에 대해서는 발송차단 정책을 강화하는 등 고객정보 전송 통제를 개선하시기 바람

(2) 개발서버 및 사용자PC에 대한 접근통제 불합리

(가) 프로그램 개발자가 검증계 서버에 접속하는 경우 사용자 ○○○시스템을 통하여 접근을 통제하고, 전속대리점 소속 설계사가 △△△시스템에 아이디를 등록할 경우에는 본인인증을 거치도록 통제하고 있으나, 프로그램 개발자가 개발계 서버에 접근할 때는 ○○○시스템을 미적용하였고, 비전속대리점 소속 설계사가 인터넷 등 외부망에서 □□□시스템에 아이디 등록시 본인인증을 생략하고 있으며, 동 설계사가 PC에서 □□□시스템에 로그인할 때도 추가인증을 미적용하고 있으므로 시스템 접근통제 강화를 위하여 개발자가 개발계 서버에 접근하고, 비전속대리점 소속 설계사가 영업지원시스템에 아이디를 등록하거나 PC를 통해 로그인하는 경우 본인·추가인증을 실시하시기 바람 (나) 사용자가 업무용 PC를 통해 외부망에 접속할 때에는 망연계솔루션을 적용하는 등 논리적으로 망을 분리하여 운영하고 있으나, 사용자 업무용 PC가 내부망에 접속할 때에는 IP·MAC 주소 기준으로 접근을 통제하고 있어, 내부망에 접속한 비인가 단말기의 IP·MAC 주소를 위·변조하여 내부통신망에 접속하는 경우 이를 차단하기 곤란하므로 사용자 업무용 PC가 내부망에 접속할 때에는 비인가 단말기의 IP·MAC 주소 위·변조 등을 통한 비인가 접속이 불가능하도록 접근통제 방안을 개선하시기 바람

(3) 내부 전산자료 보호대책 미흡

부서내 업무자료 공유를 위해 ○○○를 구축하고 부서별로 권한을 부여하여 접근통제를 실시하고 있으나,

○○○ 내 저장된 파일에 대한 개인정보 수록여부 검출, DRM 미적용 파일에 대한 강제 암호화 및 저장된 파일의 주기적인 삭제 등을 실시하지 아니하였으며,

□□□ 서버 등 정보처리시스템에 저장된 로그파일 및 일괄작업 결과파일 등에 대한 개인정보수록여부 검출 및 삭제 등 전산자료 보호대책을 실시하지 아니하여 불필요한 개인정보 등이 파기되지 않고 보관될 우려가 있으므로, 앞으로 정보처리시스템에 저장된 자료에 대한 개인정보 수록여부 검출 및 조치를 주기적으로 수행하는 등 주요 전산자료에 대한 정보보호 통제를 개선하시기 바람

(4) IT감사업무 불합리

감사부서(감사실)는 검사대상기간 중 IT업무에 대한 감사를 2회 실시하였으나, 감사범위가 정보보안부문에 한정됨에 따라 IT감사, IT경영 및 프로그램·인프라 운영 등 전반적인 IT영역에 대한 감사가 장기간 이루어지지 않았고, IT부문에서 분기마다 ITGC항목을 자체 점검하고 있으나, 점검결과를 적정·부적정 여부만 체크할 뿐 적정여부에 대한 판단근거는 기재하지 않고 있으며, IT부문 직원이 본인 업무를 점검하도록 운영하는 등 형식적으로 자체점검을 실시하고 있으므로 주기적으로 IT부문 업무에 대한 감사가 이루어질 수 있도록 감사계획을 수립·실시하고, IT자체감사에 대한 객관적인 평가 기준을 마련하여 점검결과를 상세히 기록하는 한편, IT자체감사자를 지정하여 자체감사를 실시하는 등 실효성 있는 IT자체감사를 실시하시기 바람

(5) 고객정보 마스킹 및 데이터변환 불합리

데이터베이스 내 주민등록번호 등 고유식별정보 및 계좌번호, 카드번호 등 금융정보를 암호화하여 저장하고 있으나,

○○○, △△△ 등 일부 개인정보에 대해서는 마스킹 등의 처리를 하고 있지 않아, 무단으로 개인정보가 노출될 우려가 있으며 운영시스템의 데이터베이스 데이터를 테스트 및 개발 데이터베이스로 이관할 때 데이터변환솔루션을 통해 개인정보를 변환하고 있으나, 일부 운영 데이터 이관 시 데이터변환솔루션을 적용하지 않았고, 운영담당자가 테스트데이터 이관 시 개인정보 변환여부 등에 대한 검토 없이 이관하고 있어, 개인정보 변환이 누락될 우려가 있으므로 개인정보 데이터베이스 조회 시 마스킹 등을 하여 개인정보 조회에 대한 통제를 강화하고, 운영시스템의 데이터베이스 데이터를 테스트·개발서버로 이관 시 개인정보 변환통제가 강화될 수 있도록 데이터 이관절차를 개선하시기 바람

(6) 장애관리 불합리

프로그램 및 전산시스템 장애 발생시 △△△시스템에 등재하여 관리하고 있으나, 장애관리등급(S1~S4)이 명시적인 분류기준을 통해 관리되지 아니하여 소비자 불편이 우려되는 일부 사고에 대해서도 동일하게 3등급 미만으로 관리되고 있으므로 장애관리등급을 장애에 따른 업무영향도와 심각성을 고려하여 소비자 불편이 우려되는 사항은 즉시 조치할 수 있도록 장애등급을 세분화하여 관리하시기 바람

(7) 정보보호 관제업무 불합리

IT보안ㆍ기획팀은 방화벽, IPS 등 정보보호시스템을 구축ㆍ운영하고 있으며, AIA그룹 보안팀에서 정기적인 취약점 점검 등을 통해 전산시스템의 취약점을 보완하고 있으나, 보안관제를 AIA그룹 보안팀에서만 실시하고, 보안관제 수행 결과를 AIA한국법인의 보완조치가 필요한 경우에만 통지하고 있어, 공격시도가 차단되거나 보완조치가 필요하지 않은 보안관제 결과 등에 대해서는 회사에서 인지할 수 없어 사전적인 침해사고 예방 활동이 미흡해질 우려가 있으므로 앞으로 외부에서 들어오는 공격시도에 따른 공격자 유형, 공격방법 등에 대한 현황 파악 및 공격ㆍ유해트래픽 차단 등 침해사고 예방 활동을 자체적으로 실시하는 등 정보보호 관제업무를 개선하시기 바람