한국신용정보원 금감원 경영유의사항 · 2017-02-28

제재내용 공개안

제재내용 공개안

1. 금융회사명 : 한국신용정보원

2. 조치요구일 : 2017. 2. 28.

3. 조치요구사항

제재대상

제재내용

기관

경영유의사항 : 1건

개선사항 : 3건

제재대상

제재내용

기관

경영유의사항 : 1건

개선사항 : 3건

4. 제재대상 사실

가. 경영유의사항

(1) 신용정보 보안업무 관련 자체감사 강화

한국신용정보원이 기존 6개 신용정보집중기관에서 수집하던 신용정보를 통합 수집․관리하게 됨에 따라 신용정보 보안관리 및 정확성 유지 등에 대한 감사의 필요성이 증가하였음에도 불구하고, 감사실은 내부 ｢감사규정｣에 따라 일상감사 및 수시감사를 수행하고 있으나 신용정보 보안업무에 대한 감사는 수행한 사실이 없어, 신용정보 보안업무에 대한 자체감사를 강화할 필요가 있음

나. 개선사항

(1) ｢일반신용정보관리규약｣의 기준 명확화

한국신용정보원은 ｢신용정보의 이용 및 보호에 관한 법률｣ 제18조제1항에 따라 신용정보의 정확성과 최신성이 유지될 수 있도록 신용정보의 등록․변경 및 관리 등을 하여야 하는데, 금융회사가 신용정보를 집중하는 기준을 명시한 ｢일반신용정보관리규약｣에 신용정보의 등록 및 해제 기준이 명확하지 않다는 우려가 있으므로 금융회사가 일관된 기준으로 신용정보를 집중하여 신용정보의 정확성 및 최신성이 유지될 수 있도록 동 규약의 기준을 명확하고 객관적으로 정하는 등 개선하시기 바람

(2) 신용정보의 정확성 제고를 위한 이행실태조사 후속조치 미흡

｢신용정보의 이용 및 보호에 관한 법률｣ 제25조제5항에 따라 종합신용정보집중기관은 집중되는 신용정보의 정확성․신속성을 확보하기 위하여 신용정보집중관리위원회가 정하는 바에 따라 신용정보 제공의무 이행실태 조사를 할 수 있어 한국신용정보원은 2013.5월∼2016.9월 기간 중 ◦개 기관에 대해 신용정보 제공에 대한 이행실태조사를 실시하고 정비기간 중 정비되지 않은 ◦건에 대해서 제재금 ◦원을 부과하였는데, 제재금을 부과한 이후 추가적인 사후조치는 하지 않아 금융회사가 부정확한 정보에 대해 조치하지 않을 경우 부정확한 정보가 계속 등록되어 있을 우려가 있으므로 제재금 부과 이후에도 부정확한 정보 정비를 강제할 수 있는 방안을 강구하는 등 개선하시기 바람

(3) 통합업무시스템의 접근통제 및 보안체계 강화

한국신용정보원은 사전에 등록된 IP 등을 통해서만 통합업무시스템 접근이 가능하도록 방화벽으로 통제하고 있으나, 한국신용정보원 내부 담당자가 외부 금융회사 인터넷망에서 통합업무시스템에 접근이 가능하도록 허용하는 등 접근통제에 취약한 측면이 있으며, 통합업무시스템의 인터넷망 보안을 위해 3단계 보안 관제 체계를 구축하고 각종 보안 솔루션을 구축하여 운영 중이나 통합업무시스템을 통한 자료 송수신 시 파일 전체의 악성 코드 보유 여부를 점검할 수 있는 보안체계가 미흡하므로 신용정보원 내부 담당자가 외부 금융회사 인터넷망을 통해 통합업무시스템에 접속할 수 없도록 접근통제를 강화하고, 자료 송수신 시 악성코드 보유 여부를 점검할 수 있는 보안관리 체계를 구축하시기 바람