코리아크레딧뷰로 주식회사 금감원 경영유의사항 · 2021-12-09

경영유의사항 등 공개

1. 금융회사명 : 코리아크레딧뷰로 주식회사

2. 조치일 : 2021. 12. 9.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

⑴ 개인사업자 신용평가모형 검증 및 모니터링 운영 강화

내규 ｢◯◯◯◯◯◯｣ 제◯조에 따르면 운영부서는 상품의 적정성을 유지

하기 위하여 검증이 필요한 상품이 있다고 판단하는 경우, 검증 수행 여부와 검증 주기 및 방법을 결정하여 모니터링을 통한 검증을 시행할 수 있음에도,

◯◯◯◯◯ ◯◯◯◯◯◯ ◯◯ 등 개인사업자의 신용평점을 산출하여

제공하는 서비스를 금융회사에 제공하면서

검증 수행 여부 판단기준 및 주기, 방법 등 체계적인 검증 기준을 마련하지

않는 채 운영하여, 검사대상기간 중 ◯◯◯◯◯ ◯◯◯◯◯◯의 적정성에 대한 자체 검증실적이 없으므로

◯◯◯◯◯ ◯◯◯◯◯◯ 등 상품 검증을 위한 체계적인 기준을 마련하고

검증절차를 강화하여 운영할 필요가 있음

⑵ 내부통제 강화를 위한 감사 기능 확충

내규 ｢◯◯◯◯｣ 제◯조 및 제◯조에 의하면 분야별 전문인력을 중심으로

적정규모 이상의 감사실 인원을 확보하여, ◯년 이내의 주기로 부서별 감사를

실시하여야 하는데도

검사착수일 기준 감사실 인원은 ◯◯, ◯◯ 전공자 ◯명으로 ◯◯·◯◯

분야의 감사 전문성이 낮으며, 임직원수 대비 감사실 인력이 현저히 적고 그 비중이 지속적으로 감소하고 있는 추세로

현재 ◯년 이내 감사 주기가 지켜지지 않고 있으며, 추진 중인 신규 사업

등에 대한 내부통제 기능이 약화될 우려가 있으므로

회사규모와 신용정보보호의 사회적 요구수준 증대 추세 및 향후 신규 사업

추진 등을 고려하여 분야별 전문인력을 중심으로 감사실 인원을 확충하고, 계획한 감사주기를 준수하는 등 감사 기능을 강화할 필요가 있음

나. 개선사항

⑴ 가명정보에 관한 보호조치 절차 개선

각 데이터보유부서에서 개인 신용정보를 가명처리한 후 데이터총괄부서에서

재식별 방지 등 보호조치의 적정성을 검토하여 제3자에게 제공하고 있으나

특정방식으로 가명정보를 제공하는 경우 데이터보유부서에서 데이터총괄

부서로 적정성 검토를 요청하는 절차가 없어 재식별 방지 등의 보호조치가 누락 될 우려가 있으므로

데이터보유부서는 모든 가명정보 처리 및 제공시 데이터총괄부서와 협의

하도록 절차를 개선하고, 가명정보 보호를 위한 관리‧감독을 철저히 하시기 바람

⑵ 신용정보 및 공공 정보 등 데이터 정확성 확보 미흡

신용정보제공‧이용자로부터 신용정보 수집시 데이터의 정확성을 확보하기

위해 전산화된 방법으로 검증을 통해 데이터를 적재하고 있으나,

데이터가 정상적으로 적재되지 않은 경우에 그 오류 사유 등에 따라 조치

한 후 데이터를 추가 등록해야 함에도 오류가 발생한 데이터를 검토하여 재적재 하는 절차가 미흡하여 운영방식의 개선 및 보완이 필요하고

또한, 법원 등 웹사이트를 통해 공개하는 ◯◯◯◯◯◯ 등 공공정보를

스크래핑 방식으로 수집하여 금융회사에 제공하고 있으나

정보수집 과정에서 오류가 발생하여 특정인의 ◯◯◯◯ 여부가 반영되지

못하는 등 일부 정보가 왜곡되어 제공될 우려가 있으므로, 정보를 주기적으로 점검 및 수정하는 등 사후관리 절차를 마련하여 정확한 정보제공이 이뤄질 수 있도록 관련 절차를 개선하시기 바람

⑶ 신용정보주체의 권리 및 보호를 위한 업무 개선

① 이용자가 가족 등 제3자의 개인신용정보 제공동의를 받아 제3자의 개인

신용정보를 조회할 수 있는 ‘◯◯◯◯◯◯ 서비스’를 운영‧제공하고 있으나

이용자의 요청으로 신용정보주체인 제3자가 개인신용정보 제공을 동의하는

과정에서 고지되는 약관 및 안내사항의 내용이 불충분하여, 이용자에게 제공되는 정보의 종류·내용을 명확히 인지하지 못하거나 과도한 정보가 제공되어 개인신용 정보의 오남용, 유출 등의 소비자 피해가 발생할 우려가 있으므로

신용정보주체인 제3자가 이용자에게 제공되는 본인의 개인신용정보의

종류와 동의절차 및 내용 등을 충분히 이해하고, 선택적으로 정보를 제공할 수 있도록 개선할 필요가 있음

② 본인신용정보관련 유·무료 서비스를 제공하는 ◯◯◯◯ 서비스에 회원

가입 시 이용자로부터 필수적 동의로 ‘개인정보 수집 및 이용 동의’와 선택적 동 의로 ‘신용변동 및 신용정보안내 수신동의’를 받고 있으나

유료서비스 홍보 등 영리목적의 정보를 전송하는 경우 명시적인 마케팅

수신 동의를 받아야 하는데도, ‘신용변동 및 신용정보안내 수신동의’에 해당 내용을 포함하여 동의를 함께 받고 있으므로 이를 개선할 필요가 있음

③ 개인인 신용정보주체가 신용평가점수 등의 자동화된 평가결과에 대한

설명을 요구하거나 이의를 제기한 경우, 이를 접수하고 설명하는 절차를 마련하고 있으나

동 권리를 행사할 수 있는 방법 등을 명확하게 안내하지 않고, 서면, 전자

우편, 어플리케이션 등의 관련 접수창구가 마련되어 있지 않으므로 이를 개선하 시기 바람

⑷ 본인신용정보 서비스 제휴사 관리 업무 미흡

핀테크사·금융회사 등과 별도의 제휴 계약을 통해 제휴사의 앱 이용자에게

본인신용정보조회 서비스를 제공하면서

제공받은 컨텐츠에 대해 제휴사가 코리아크레딧뷰로(주)의 승인 없이 별도의

저장·출력·복사·가공이 불가하도록 제한하고 동 서비스가 코리아크레딧뷰로(주)가 제공하는 서비스임을 명시토록 하고 있으나

일부 제휴사의 경우 서비스 제공시 서비스 및 정보제공 주체를 코리아

크레딧뷰로(주)로 명시하지 않아, 소비자가 서비스 제공 및 정보수집·제공 주체를 제휴사로 오인할 수 있고 소비자 피해 발생 시 책임소재가 불분명해질 우려가 있으므로, 당초 제휴(계약) 조건대로 서비스가 운영될 수 있도록 제휴 서비스 운영 및 제휴사 관리를 강화할 필요가 있음

⑸ 개인신용정보 관련 점검업무 개선

(가) 개인신용정보 조회 적정성 점검 미흡

개인신용정보의 오남용 방지를 위해 임직원이 내부시스템상에서 개인신용

정보를 조회시, 조회기록을 통해 그 사유 및 목적 등에 대한 적정성을 점검하고 있으나

조직 개편 등으로 인한 신설된 신규 부서가 내부통제시스템에 반영되지

않아, 동 부서 소속 임직원에 대한 점검이 누락된 사례가 있으므로

향후 개인신용정보 조회 적정성 점검 대상이 누락되지 않도록 관련 시스템

및 절차를 개선할 필요가 있음

(나) 신용정보제공·이용자에 대한 개인신용정보 조회동의 점검 미흡

금융회사를 포함한 개인신용정보를 제공받으려는 자(이하 ‘회원사’)는 코리아

크레딧뷰로(주)로부터 개인신용정보를 제공받을 때마다 해당 신용정보주체로부터 개별적으로 동의를 받아야 하고, 코리아크레딧뷰로(주)는 회원사가 해당 신용 정보주체로부터 실제 조회 동의를 받았는지 여부 등의 점검을 위하여 자체 기준을 마련하여 연 ◯회 실시하고 있으나,

동 기준에 따르면 연간 신용조회건수가 자체 기준 미만인 회원사는 점검

대상에서 계속적으로 제외되는 등 점검 공백 발생 우려가 있으므로

개인신용정보 조회동의 점검 및 대상 선정 등에 대한 기준을 강화하여 점검

공백이 발생하지 않도록 개선할 필요가 있음

⑹ 인터넷 접속용 단말기의 보안통제 미흡

단말기를 내부통신망에 접속하는 업무단말기와 인터넷 접속용 단말기로

구분하여 운영하는 한편, 인터넷 접속시 ◯◯◯, ◯◯◯ 등 업무와 무관한 웹사이트를 전사적으로 기본 차단하고, 업무상 필요한 경우 차단된 웹사이트의 접속을 허용 하고 있으나,

접속 허용기간 준수 여부, 업무 목적에 맞게 사용되었는지 여부 등을 확인

하는 절차가 마련되어 있지 않고, 일부 단말기에서는 ◯◯◯◯, ◯◯ ◯◯ 등 보안 프로그램의 설치가 일부 누락되는 등 단말기 보호 대책에 미흡한 점이 있으므로

앞으로 모든 인터넷 접속용 단말기에 ◯◯◯◯ 등 보안프로그램 설치가

누락되지 않도록 관리를 강화하는 한편, 차단된 웹사이트의 접속을 허용하는 경우 에는 충분한 위험성 평가 실시, 허용기간 최소화 등 보안통제를 강화하고, 접속 허용 이후에도 접속 허용기간 준수 여부, 업무 목적에 부합한 사용여부 등을 확인 하는 절차를 마련할 필요가 있음

⑺ 정보보호시스템의 운영·관리 미흡

① 침해사고 방지를 위하여 ◯◯◯, ◯◯◯◯ 등 정보보호시스템을 도입·

운영하면서, 해당 정보보호시스템으로부터 수집된 로그를 외부보안업체가 분석

하고 공격의심 경로를 차단하고 있으나

◯◯◯ ◯◯◯◯ 침해탐지 대상에 회사가 운영 중인 일부 ◯◯◯◯ ◯◯가

누락되고 침해공격 중 일부유형에 대한 방어가 미흡한 상태이며,

◯◯◯◯◯의 경우 ◯◯◯ 등 공격에 있어 탐지모드로만 설정·운영하고 있어

침해 공격에 대한 실시간 방어가 불가능할 우려가 있으므로

회사가 운영하는 모든 웹사이트에 대해 ◯◯◯◯ ◯◯◯을 적용하여 외부

침해공격에 대한 탐지가 누락되지 않도록 하고, ◯◯◯◯◯의 공격유형별 차단 설정에 있어 위험도, 서비스 안전성 등을 고려하여 설정하는 등 침해사고 예방을 강화할 필요가 있음

② 내부 ◯◯◯에 ◯◯◯◯◯◯을 설치하여 ◯◯◯◯◯에서 생성·저장되는

파일을 암호화하고 있으나, 일부 ◯◯◯에 해당 기능이 적용되지 않는 ◯◯◯◯◯를 설치하여 사용한 사례가 있으므로,

◯◯◯◯◯◯◯ 적용대상 ◯◯◯◯◯를 확대하거나, ◯◯◯◯◯◯◯이 적용

되지 않는 ◯◯◯◯◯의 설치를 차단하는 등 보안통제를 강화할 필요가 있음