신용보증기금 금감원 경영유의사항 · 2021-11-10

경영유의사항 등 공개안

1. 금융기관명 : 신용보증기금

2. 조치일 : 2021. 11. 10

3. 조치내용

4. 조치대상사실

가. 개선사항

⑴ 상거래 종료된 고객의 개인신용정보 관리업무 개선

내규 ｢신용정보 활용 및 관리기준｣ 제55조의3 등에 따라, 보증해지·채권상환 등으로

상거래 관계가 종료된 고객 정보에 대해 단계별 접근제한·분리보관 등의 보안조치를 수행 하고 있으나,

단계별 보안조치 결과에 대한 신용정보관리·보호인의 검증·확인 및 분리보관(2단계) 데이터

베이스의 접근 권한부여 절차를 마련하지 않고, 조회자·승인자·조회목적 등 접근이력의 사후 확인이 어려워 보안조치를 제대로 수행하지 않을 우려가 있으므로,

상거래 관계가 종료된 고객의 개인신용정보보호를 위해 단계별 보안조치 결과에 대한

신용정보관리·보호인의 확인 절차와 분리보관된 고객정보의 접근절차 및 기록관리를 개선할 필요가 있고

또한, 단계별 보안조치절차를 자동화하기위해 분리보관 프로그램을 운영하고 있으나 특정

주기에 수행됨에 따라 일부 정보는 보존기한 5년을 위반하여 분리보관 할 우려가 있으므로 이를 개선할 필요가 있음

(2) 개인신용정보처리시스템 접근권한 및 접속기록 관리 개선

(가) 개인신용정보처리시스템 접근권한 관리 개선

○○○ 등 개인신용정보처리시스템을 운영하면서, 정보처리시스템 접근권한은 시스템별

소관부서가 개별적으로 검토하여 부여하고 각 부서별 부여한 접근권한의 적정성은 정보보안센터 에서 점검하고 있으나,

○○○·△△△·□□□은 수작업으로 접근 권한을 관리하여 인사이동·퇴직 등의 변경

사항이 즉시 반영될 수 없어 권한없는 자가 접근할 우려가 있고,

또한, ○○○·△△△은 권한변경 이력의 체계적 관리가 미흡하여 사후 점검이 제대

로 이루어지지 않을 우려가 있으므로

개인신용정보처리시스템의 접근권한 변동사유 발생시에는 지체 없이 권한 변경·말소

하고 관련 변경 이력이 체계적으로 관리되도록 접근권한 관리시스템 등 관련 시스템을 개선할 필요가 있음

(나) 개인신용정보처리시스템 접속기록 관리 개선

개인신용정보처리시스템의 접속기록*을 월1회 점검하고 있고, 개인신용정보처리시스

템의 접속기록을 각 서버 저장장치에 1년 이상 저장하고 백업시스템을 통해 위·변조 등 무결 성 검증을 하고 있으나

* 업무시스템, 서버, 데이터베이스 등 접속기록

○○○○.○.○.∼○○○○.○.○.기간 중 개인신용정보처리시스템 접속기록 중 일부(업무

시스템 접속기록)의 점검주기가 지연되거나 누락된 사례가 있고, 개인신용정보처리시스템 접속 기록 중 일부(업무시스템·데이터베이스 접속기록) 저장시 웜디스크*를 사용하지 않아 위·변조 가능성이 우려되므로

* WORM(Write Once Read Many) : 한번 기록되면 수정이 불가능한 저장매체 접속기록 점검이 누락되지 않도록 접속기록 점검절차에 따라 철저히 점검하고 접속

기록에 대한 기록 관리를 강화할 필요가 있음

(3) 개인신용정보 조회 적정성 점검 절차 개선

내규 ｢신용정보 활용 및 관리기준｣에 따라, 각 부서는 매영업일마다 직전 영업일에

조회한 신용정보 내역을 해당 부서장(팀장)이 확인 후 결재하는 등의 점검절차를 마련·운영 하고 있으나,

개인신용정보 관리를 총괄하는 신용정보보호·관리부서는 각 부서의 조회 적정성 점검을

확인하기 위해 실효성 있는 관리적 보안대책을 마련·운영하지 않아 일부 신용정보 조회기록상 조회용도, 조회부서를 누락하는 사례가 있는 등 미흡하게 운영되고 있으므로,

신용정보보호·관리부서는 개인신용정보 오남용 및 누설 방지를 위해 신용정보 조회

기록의 적정성 점검 업무를 강화하고,

아울러, 정보보안업무기준에 따르면 악성코드 감염에 따른 유출, 대외비 자료 무단반출

등에 대한 자체 제재기준은 마련되어 있으나, 부당 조회 등 개인신용정보 오남용 직원에 대한 제재기준이 없으므로 관련 기준을 마련하여 신용정보의 관리적 보안체계를 개선할 필요가 있음