현대해상화재보험 금감원 경영유의사항 · 2017-12-29

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 현대해상화재보험(주)

2. 조치일 : 2017. 12. 29.

3. 조치내용

대상

내 용

기관

경영유의사항 2건, 개선사항 6건

대상

내 용

기관

경영유의사항 2건, 개선사항 6건

4. 조치대상사실

가. 경영유의사항

(1) IT사업계획 및 수행관리 강화

회사는 2016년 정보기술부문 계획서에 콜센터 시스템 통합 사업 등을 반영하고, 전자금융거래법 제21조제4항 및 감독규정 제8조의2제3항에 따라 정보보호위원회의 심의․의결, 대표이사의 확인․서명을 받아 금융위원회에 제출하였으나, 업체 선정 및 여타 사업추진 관련 의사결정 지연으로 인하여 상기 사업을 계획된 일정에 따라 추진하지 못하는 등 정보기술부문 사업관리가 부실하고 정보기술부문 계획서에 포함된 주요 사업이 지연될 경우 정보처리시스템의 안정성 및 적시성 확보가 어려워져 정보처리시스템 운영 시 리스크가 증가할 우려가 있으므로, 정보보호위원회 등을 통해 경영진이 사업지연의 타당성․정당성을 확인하는 절차를 관련 내부통제 규정에 반영․운영하는 등 개선할 필요가 있음

(2) IT조직·운영관리에 대한 적정성 확보 필요

회사는 현재 운영중인 정보처리시스템 운영·관리 업무를 외부주문업체인 현대HDS에 위탁하여 처리함에 있어, 위탁 가능한 업무를 제외한 프로그램의 운영시스템 적용 및 일괄작업 승인 등의 통제 업무를 회사가 직접 통제할 수 있도록 내부에 자체 조직과 인력을 갖추고 정보기술부문 인력을 전체 임직원 대비 5% 이상 지속적으로 유지할 수 있도록 노력해야 하는데도, 전산센터의 IT인프라 운영관리 업무 전체를 외부주문업체에 위탁하여 IT인프라 운영 장애가 발생할 경우 회사가 즉시 대응하거나 장애 상황에 대한 문제점을 명확하게 파악하기 어렵고, 프로그램의 운영시스템 적용 및 일괄작업 수행시 문제가 발생하여도 회사가 외부주문업체를 통하여 문제점을 파악하고 있으므로 회사에 외부주문 인력과 업무를 통제할 수 있는 조직과 인력을 갖추는 등 법규에 정하는 인력비율을 지속적으로 유지하고자 노력하고, IT인프라 운영과 프로그램·일괄작업을 통제할 수 있는 체제를 마련하시기 바람

나. 개선사항

(1) IT감사업무 수행 미흡

감사실에서 정보처리시스템 신규개발 및 완료 건에 대한 일상감사와 외부주문에 대한 정기감사 등을 수행하고, 고객정보관리실태 및 내부통제 등의 IT보안부문에 대한 정기감사를 실시하고 있으나, IT전문 감사인력(현재 ○명)이 부족하여 IT경영, IT개발 및 유지보수, 인프라 운영 등의 IT 전반적인 영역에 대한 정기감사를 실시하지 않고 있으므로 IT전문 감사인력을 충원하고, IT정기감사 범위가 IT부문 전체영역을 포괄하여 실시될 수 있도록 IT감사 업무 프로세스를 개선하여 수행하시기 바람

(2) 재해복구시스템 구축 및 백업·소산관리 불합리

(가) 재해발생시 업무연속성을 확보하기 위하여 보험계약, 체결 및 변경, 제지급 업무 등을 처리하는 보험업무시스템과 대고객서비스 업무를 처리하는 홈페이지 시스템 등에 대하여 재해복구시스템을 구축하였으나, 판매채널인 다이렉트 신계약판매시스템*에 대한 재해복구시스템이 구축되어 있지 않았으므로

* 다이렉트홈페이지, 다이렉트 모바일 시스템 등

대고객업무를 처리하는 다이렉트 판매시스템 등에 대해서도 재해 발생시 업무가 지속적으로 처리될 수 있도록 재해복구시스템을 마련하여 운영하시기 바람 (나) 업무 연속성 계획에 따라 기간계, 관리계 및 콜센터 등 주요업무시스템에 대하여 백업 및 소산계획을 마련하였으나, 주요 업무 시스템인 모바일영업지원시스템 및 녹취시스템에 대해서는 파일 및 데이터베이스의 백업 자료를 소산(○개)하지 않았으므로 회사가 계획하고 있는 방안에 따라 소산 대상 주요업무정보시스템의 파일 및 데이터베이스를 소산하시기 바람

(3) 프로그램 반출입 통제관리 미흡

내규 ｢개발 및 유지보수 절차｣에 의하면 프로그램 소스코드는 작업의뢰시스템과 형상관리 도구를 통하여 충실히 관리되어야 함에도, 소스코드 변경권한이 주어지는 반출과 변경권한이 부여되지 아니한 단순 조회를 구분하여 관리·통제하지 않고, 형상관리시스템에서 반출(체크아웃)한 프로그램 소스코드 중 일부는 반입(체크인)하지 아니한 채 운영되는 등 프로그램 소스코드에 대한 관리가 미흡하므로 앞으로 소스코드의 단순조회와 변경권한 부여를 구분하여 프로그램 반출을 관리하고, 반출된 이후 반입되지 않는 프로그램 소스코드에 대하여 원인 등을 파악하여 기록·관리하는 등 프로그램 반출 통제절차를 개선하시기 바람

(4) 위탁업체 지원시스템 사용자 권한관리 등 불합리

손해사정 위탁업무를 위탁업체별로 할당·관리하는 손해사정 위탁업체 업무지원시스템(PRM시스템)을 운영하면서 위탁업체별 위탁한 손해사정 정보에 대한 접근통제는 수행하고 있으나, 동일한 손해사정 위탁사 소속 직원간 배당받은 사건*에 대한 접근권한 통제를 미실시하고, 배당된 손해사정 업무가 종결된 후에도 조회권한을 유지**하는 등 고객정보 보호를 위한 접근권한 통제가 다소 미흡하며,

* 보험회사는 손해사정 위탁사별로 심사건을 배정하면, 손해사정 위탁사는 소속된 손해사정인에게 심사건을 배당함

** 다만 손해사정 심사를 위한 기본계약정보, 보험사고 정보 등의 상세자료는 손해사정인에게 배당후 업무종료와 무관하게 1개월 이후에는 접근이 차단되도록 운영함 보험금 청구심사 자료를 첨부 파일 형태로 위탁사에 제공하면서도, 동 첨부파일에 대한 암호화가 강제화 되도록 관리*하지 않는 등 고객정보에 대한 보안 관리가 미흡하므로

* 문서를 주로 이미지파일 형태로 제공하여 수탁업체의 문서암호화시스템에 적용되지 않음

앞으로 관련 시스템의 조회권한 통제를 강화하고, 위탁업체에게 제공되는 고객정보에 대해 암호화가 누락되지 않도록 관리하는 등 고객정보 보호통제 절차를 개선하시기 바람

(5) 정보처리시스템 개인정보 관리 불합리

보험계약자에게 보험증권, 안내자료 등 계약관련 서류를 이메일 또는 인터넷을 통해 제공하기 위한 시스템을 운영함에 있어 동 시스템 중 내부망에 위치한 발송내역(로그) 서버에 암호화 등 개인정보 보호 조치를 취하지 않고 주민등록번호를 저장하고 있으므로 앞으로 동 서버에 저장되는 개인정보를 최소화하도록 관련 프로그램을 개선하고, 기저장된 주민등록번호 등 개인정보는 암호화 처리하거나 위험도 분석을 통해 별도 보완대책을 수립·운영하는 등 개인정보 관리절차를 개선하시기 바람

(6) 개인정보 과다조회자 통제 체계 미흡

회사는 개인정보의 유출·노출 방지를 위하여 개인정보 과다조회 모니터링 및 소명절차 등 통제체계를 갖추고 있으나, 개인정보 과다조회 여부 판단시 업무 특성 등을 고려하지 않고 모든 직원에게 동일하게 조회건수 기준*으로만 운영하여 다수의 과다조회자가 발생함에 따라 부정한 목적의 개인정보 과다조회자를 검출하기 어려우며,

* 일 500건, 주 1,000건, 월 3,000건을 대량조회 기준으로 운영중

과다조회자에 대한 소명절차가 2014년 전자결재 방식에서 2016년 샘플 모니터링 방식*으로 대폭 간소화하여 운영되는 등 개인정보 과다조회자를 통제하기에 미흡하므로

* 매월 대량조회 기준에 부합하는 1천여건의 대량 조회건에 대해 준법감시부 담당자가 임의로 ○건 내외로 샘플링하여 전화등을 통한 사유 확인방식 앞으로 개인정보 조회시간, 업무연관성, 평균 조회규모 등을 반영한 과다조회 기준을 수립·운영하고, 과다조회자 및 부서에 대한 소명 및 검증 절차를 강화하는 등 개인정보 보호 통제를 개선하시기 바람