흥국생명보험주식회사 금감원 경영유의사항 · 2018-01-22

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 흥국생명보험(주)

2. 조치일 : 2018. 1. 22.

3. 조치내용

대상

내 용

기관

경영유의사항 2건, 개선사항 4건

대상

내 용

기관

경영유의사항 2건, 개선사항 4건

4. 조치대상사실

가. 경영유의사항

(1) IT사업계획 및 수행관리 강화

회사는 2016년 정보기술부문 계획서에 퇴직연금시스템 재구축 사업 등 주요 IT사업 추진 계획을 반영하였으나 업체 선정 등을 이유로 IT사업을 계획된 일정에 따라 추진하지 못하는 등 IT사업관리가 부실하여 주요 IT사업의 지연으로 인해 정보처리시스템의 안전성 및 적시성 확보가 어려워져 정보처리시스템 운영에 리스크요인으로 작용할 우려가 있으므로, 앞으로 주요 IT사업에 대하여 정보보호위원회 개최 등을 통해 경영진이 사업지연의 타당성․정당성을 확인하는 절차를 관련 내규에 반영․운영하는 등 IT사업이 효율적으로 진행될 수 있도록 관리‧감독을 강화할 필요가 있음

(2) 외부주문인력 및 정보처리시스템 설비 내부통제 강화

회사는 현재 운영중인 정보처리시스템 운영·관리 업무를 외부주문업체인 OOO에 위탁하여 처리함에 있어 동 업체 인력에 대한 적절한 통제절차를 마련하고, 대외계 통신장비가 설치된 전산실은 미승인자가 접근하지 못하도록 적절한 통제 대책을 수립·운영해야 하는데도, 보험계약정보·고객정보 등을 처리하는 외부주문인력을 합리적인 이유 없이 외부주문업체 본사사옥에 근무하도록 허용하여 동 인력에 대한 회사의 직접적인 통제가 이루어지지 않으며, 보험계약의 중복가입을 방지하기 위한 실손보험계약 조회 및 보험료 결제·보험금 지급 등을 처리하는 대외계 통신망을 계열사 전산장비로부터 분리하지 않고 같은 공간에 운영하면서 카드키 등의 물리적 시건장치를 구비하지 않는 등 외부주문업체 인력에 대한 인적통제 및 전산장비에 대한 물적통제가 미흡하므로 외부주문 인력에 대하여 회사가 직접적으로 통제할 수 있도록 조치하고, 대외계 통신망을 계열사 전산장비로부터 분리‧이전하거나 물적 보안 통제를 강화하는 등 내부통제를 강화할 필요가 있음

나. 개선사항

(1) IT감사수행 불철저

‘전산감사지침’에 따라 감사실에서 IT부문에 대한 정기감사, 일상감사, 특별감사를 실시하고 있으나, 일상감사의 경우 대상선정기준이 높아 중요 정보처리시스템 신규개발에 대한 일상감사 실적이 미흡하고 IT경영, IT개발 및 유지보수, 인프라 운영 등 IT부문 전반에 대한 정기감사를 실시하지 않았으며 IT자체감사에 대한 내규 등을 마련하지 않고 있으므로 앞으로 일상감사 범위를 확대하여 중요 정보처리시스템 도입에 대하여 일상감사가 수행될 수 있도록 관련 절차를 개선하고, IT정기감사의 범위가 IT전반에 대하여 포괄적으로 이행될 수 있도록 정기감사 계획을 수립·시행함과 아울러 IT자체감사에 대한 내규 등을 마련하여 운영할 수 있도록 개선하시기 바람

(2) 테스트데이터 변환통제 관리 불철저

프로그램 개발시 프로그램 및 데이터 정합성 등을 확인하기 위하여 이용자 정보* 등이 포함된 데이터를 테스트에 사용할 경우에는 테스트 변환 솔루션을 사용하여 이용자 정보 등을 식별할 수 없도록 변환하여 사용하고 있으나,

* 성명, 주민등록번호, 계좌번호, 카드번호, 연락처 등

테스트데이터의 이용목적, 사용자, 사용기간 및 폐기 등의 통제 관리가 적정하지 않아 테스트 종료 후에도 동 데이터를 파기하지 않고 있으므로 개발자가 테스트데이터의 사용목적·기간·범위 등을 정하여 신청한 후 동 데이터를 사용할 수 있도록 시스템을 개선하고, 테스트 종료 후 테스트데이터 삭제 여부를 확인할 수 있도록 관련 절차를 개선하시기 바람

(3) 정보처리시스템 운영체제 관리 불철저

일부 정보처리시스템에서 기술 지원이 종료된 운영체제(총 OO대)를 사용하고 있어 제조사로부터 서비스 업그레이드 및 보안패치 등 공식 지원 서비스를 사전에 지원받지 못하여 운영체제 장애 발생시 전체시스템에 문제가 발생할 수 있고, 신규 취약점을 악용한 해킹과 악성코드 등 외부 침해 행위에 취약하므로, 기술 지원이 종료된 운영체제를 업그레이드 하거나 제조사와 기술지원 계약을 연장하는 등 운영체제 장애발생을 미연에 방지하기 위한 구체적인 계획을 마련하시기 바람

(4) 사용자 비밀번호 설정·암호화 대책 불철저

(가) 보험업무처리시스템(I-prime)의 사용자 비밀번호 정책을 별도의 제한사항없이 특수문자를 미포함하고 8자리 미만으로 운영되고 있어 내부 사용자의 비밀번호 유출 사고가 발생할 우려가 있으므로, 보험업무처리시스템(I-prime)의 비밀번호 관리 정책을 특수문자가 포함된 8자리 이상으로 설정하고 분기별 1회 이상 변경할 수 있도록 개선하시기 바람 (나) 중요 보험업무처리시스템(I-prime)은 보험청약·배서·제지급 등을 처리하는 중요도가 높은 시스템임에도 사용자 계정 비밀번호가 보안강도가 낮은 단계의 암호화 알고리즘(SHA1)을 적용하고 있어, 해킹 등 전자적 침해 행위에 취약하므로, 미래창조과학부가 권고하는 수준의 암호화 알고리즘(SHA2 이상)을 적용하여 운영하시기 바람