생명보험협회 금감원 경영유의사항 · 2017-02-02

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : (사)생명보험협회

2. 조치일 : 2017. 2. 2.

3. 조치내용

대상

내 용

기관

경영유의사항 1건, 개선사항 2건

대상

내 용

기관

경영유의사항 1건, 개선사항 2건

4. 조치대상사실

가. 경영유의사항

(1) 재해복구 비상계획 실효성 확보 필요

주전산센터가 자연재해, 기술적재해, 침해사고 등에 의해 기능을 상실할 경우를 대비하여 ｢비상사태(재해)시 전산복구대책｣을 수립·운용하고, 중요전산자료를 백업하여 소산·보관하고 있으나, 동 대책에는 재해시 전산시스템 운용에 필요한 별도의 전산센터, 서버 등 운영기기 확보방안, 핵심업무 및 복구목표시간 등 세부적인 내용이 수립되어 있지 아니하고, 전산자료 소산대상 시스템을 중요업무(○○○○○, ○○○ 등 총 9개 시스템)로 한정하고 있어, 소산하지 않는 시스템*의 경우 주전산센터 재해발생시 전산자료가 소멸될 우려가 있으므로,

* 홈페이지, 공시시스템, 광고심의시스템 등은 백업만 실시하여 주전산센터(본사)에서 보관중 전산복구대책을 세부적으로 보완‧개선하고, 전산자료 백업‧소산 대상을 확대하여 운영하여 재해복구 비상계획의 실효성을 확보할 필요가 있음

나. 개선사항

(1) IT부문 내부통제 절차 불합리

IT부서내 인력 부족 등으로 상호견제가 필요한 일부 업무(응용프로그램 업무와 시스템프로그램 업무 등) 및 전산원장, 프로그램 변경 등 중요 IT업무수행에 대한 내부통제 절차가 미흡하므로 앞으로 중요 IT업무에 대하여 IT자체감사 및 전산원장과 프로그램 변경에 대한 제3자 통제를 실시하는 등 내부통제 절차를 개선하시기 바람

(2) 정보처리시스템 보안통제 및 본인인증관리 불철저

(가) 임직원이 사용하는 일반 업무용 단말기에서 정보처리시스템 등으로 직접 접속은 차단되고 있으나 검사착수일(2016.11.9.) 현재 업무용 단말기에서 ○○○○○을 우회하여 중요 정보처리시스템에 접속할 수 있으므로 앞으로 일반 업무용 단말기에서 동 시스템 접속을 차단하기 위하여 ○○○을 추가로 설치하거나 ○○○○ 솔루션 정책을 강화하는 등 통제 절차를 개선하시기 바람 (나) 협회는 인터넷 ○○○○○○○○○에 대하여 주민번호 및 공인인증서 등을 통하여 이용자의 접근을 통제하고 있으나

○○○○○○ ○○○ 일부 화면에서 ○○○ ○○○ 등으로 이용자 정보가 노출될 우려가 있으므로 앞으로 ○○○ ○○○ 등 취약점 점검을 다각도로 수행하는 등 이용자 정보가 해킹 등에 의해 노출되지 않도록 관련 점검을 개선하시기 바람 (다) ○○○○시스템의 경우 ○○담당자의 아이디, 패스워드를 협회가 부여한 ○○ ○○○○로 일괄 부여하고, ○○담당자의 본인인증 및 주기적인 패스워드 변경과 같은 별도의 통제 절차를 마련하지 않아, ○○ ○○○○의 유출로 인해 ○○정보가 임의로 변경될 우려가 있으므로 앞으로 ○○○○담당자 본인인증 또는 패스워드 변경 등의 절차를 추가하여 사용자 인증을 강화하시기 바람 (라) 모집조직통합관리시스템(KICIS)의 모집인 등록 및 변경관리를 위하여 협회는 보험사 담당자에게 모집인 교육·등록·말소 등의 관리에 대한 권한을 부여하여 운영하고 있으나 등록된 보험사 담당자에 대하여 본인을 확인할 수 있는 절차가 없어 보험사 담당자 간의 아이디, 패스워드의 공유를 통제하기 어려우므로 앞으로 담당자 본인 이외에는 동 시스템에 접속할 수 없도록 별도의 본인인증 절차를 마련하여 운영하시기 바람