DB생명보험주식회사 금감원 경영유의사항 · 2020-03-05

경영유의사항 등 공개안

1. 금융회사명 : DB생명보험(주)

2. 조치일 : 2020. 3. 5.

3. 조치내용

조치대상

조치내용

기 관

경영유의사항 1건, 개선사항 3건

조치대상

조치내용

기 관

경영유의사항 1건, 개선사항 3건

4. 조치대상사실

가. 경영유의사항

(1) 외부주문 업무에 대한 내부통제 강화 필요

회사는 정보처리시스템 및 전산장비(서버, 방화벽, 네트워크 장비 등) 운영업무를 외부주문업체(○○ ○○○㈜)에 위탁하면서 외주업체 직원이 정보처리시스템 및 정보보호시스템의 정책변경 등 중요작업을 수행하고 있어 외주직원에 의한 시스템 무단변경 및 정보유출을 예방·탐지하기 위해 외주직원의 시스템 접근 이력 및 작업 수행 내역 등을 주기적으로 점검할 필요가 있으나 이를 수행하지 않고 있으며 수탁사(○○ ○○○㈜)가 일일 보안점검 시 외주업체 직원이 점검항목을 자가점검하여 점검결과를 (O, X)로 표기하는 것으로 갈음하고 해당 점검결과의 적정성 여부에 대해 증빙자료, 현장점검 등을 통해 검증하지 않는 등 점검이 형식적으로 이루어지고 있어 작업자의 권한분리 등을 통하여 외주업체 직원이 시스템 변경, 자료 산출 등 중요작업을 임의로 수행하지 않도록 하고, 외주직원의 작업 수행 내역의 적정성을 주기적으로 검토하는 한편 외주직원이 실시한 보안점검 결과에 대해 증빙자료나 현장점검을 통해 적정성을 검증하는 등 외부주문 업무에 대한 내부통제를 강화하시기 바람

나. 개선사항

(1) 전산원장관리 불합리

회사는「○○○○○○○ 운영지침」에 따라 보험금, 보험료 및 입출금 자료 등 고객 및 금전 관련 00개 전산자료(DB table)를 전산원장으로 정하고 있으나, 보험사고정보(○○○○○○○○), 상품별 공시이율(○○○○○○○○) 등은 보험계약관리를 위한 기초 자료임에도 전산원장에 포함하지 아니하여 해당 데이터의 부당·착오변경 또는 사고발생시 책임소재 규명 곤란 등이 우려되므로 앞으로 고객과의 금융거래를 위해 수집·생성한 정보 및 금융거래 결과 등 중요 전산자료는 전산원장 범위에 포함하여 운영하는 등 전산원장 관리를 개선하시기 바람

(2) 전산자료 보안통제 미흡

전산자료의 외부 무단반출을 방지하기 위해 외주인력에게 회사 업무용 이메일을 제공하고 전자문서 문서암호화시스템(DRM) 및 개인정보 검색 솔루션(PII)을 설치하여 통제하고 있으나, 개인정보가 포함된 메일본문 또는 이미지 파일, 비밀번호가 지정된 압축파일 등은 정보유출방지시스템에서 탐지 및 차단하지 못하고 있으며 PC에 전자문서 저장시 자동으로 암호화하고, 업무상 복호화가 필요한 경우 CISO에게 승인을 득하고 있으나 문서암호화시스템(DRM)이 적용되지 않는 문서편집기를 사용하고 있으며, 복호화 된 문서를 삭제하거나 재암호화 처리 없이 PC에 보관할 수 있도록 운영하고 있어 개인정보가 포함된 이메일 발송 시 책임자 승인 등 통제절차를 강화하고 문서암호화시스템 적용대상을 확대하거나 문서암호화시스템이 적용되지 않는 문서편집기는 제거하는 한편, 복호화 파일은 업무목적 달성 즉시 삭제하거나 재암호화하는 등 전산자료 보안통제 개선하시기 바람

(3) 정보처리시스템 보안통제 미흡

① 회사는 서버 접속시 이중인증을 통해 접속을 통제하고 있으나 일부 서버에서는 접속 후 타 서버로 접근하는 경우 이중인증 없이 우회접속이 가능토록 운영하고 있어 회사의 서버 접근통제 및 모니터링 정책을 우회할 가능성이 있으므로 이중인증 없이 서버로 접속할 수 있는 경로를 차단하는 등 정보처리시스템 접근통제 관리를 개선하시기 바람

② 외주인력 테이터베이스관리자(DBA)에게 ○○○ 데이터베이스에 저장된 주민등록번호를 마스킹없이 조회할 수 있도록 허용하고, 외주인력에게 ○○○○시스템 및 ○○○시스템의 최상위 운영권한을 부여하는 한편, 사용자 단말과 서버 간 암호화 통신을 지원하지 않은 파일전송서비스(○○○)를 사용하고 있어 외주인력에 대한 마스킹 예외적용 및 보안시스템 최상위 운영 권한 부여 등을 최소화하고, 안전한 방식의 암호화알고리즘 및 강도가 적용된 파일전송서비스를 사용하는 등 정보처리시스템 보안통제를 개선하시기 바람