㈜페이게이트 금감원 경영유의사항 · 2018-05-04

경영유의사항 등 공개안

1. 금융기관명 : ㈜페이게이트

2. 조치일 : 2018. 5. 4.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 정보처리 업무 위탁 불합리

회사는 정보처리 위탁계약을 체결할 경우 전자금융업자는 수탁회사에 대한 감독당국의 감독·검사 수용의무 등을 계약 내용에 반드시 포함하여야 하고, 정보처리를 위탁하는 경우 개인고객의 고유식별정보는 암호화 등의 보호 조치를 하여야 하며 특히 국외로 이전되지 않도록 하여야 하고, 수탁받는 자가 국외에 소재하는 경우에는 그 사실을 위탁계약의 체결예정일 이전에 금융감독원장에게 보고하는 등의 조치를 취하여야 하는데도

※ 관련규정 :「(舊)금융회사의 정보처리 및 전산설비 위탁에 관한 규정」 및 「금융회사의

정보처리 업무 위탁에 관한 규정」제4조, 제5조 및 제7조 등

OOO 클라우드 서비스 이용 당시 동 규정에서 정한 감독당국의 감독·검사 수용의무 등의 계약 내용을 포함하지 않고 OOO에서 제시한 이용약관에 동의하였으며 가맹점 정산내역DB에 있는 총 OOO,OOO건의 주민등록번호 중 O,OOO건을 암호화하지 않고 OO OO 지역의 OOO 클라우드 전산센터에 이전·운영하였고

동 위탁의 체결예정일 이전에 ‘업무위탁 운영기준’, ‘업무위탁 계약이 이 규정 등 관련법령에 위배되지 아니한다는 검토의견’, ‘정보처리업무 운영에 대한 감독기관의 실질적 감독가능성을 확인할 수 있는 서류’ 등을 첨부하여 금융감독원장에게 보고 하지 않는 등 관련 규정을 준수하지 아니하였으므로

고객정보의 고유식별정보가 포함된 정보처리시스템을 국내로 이전하고 모든 고유 식별정보를 암호화하며 계약에 감독당국의 감독·검사 수용의무 등을 포함하는 등 관련 규정 준수 필요

나. 개선사항

(1) 데이터베이스 관리·통제 절차 미흡

회사는 데이터베이스 변경 절차를 문서 등으로 구체적으로 마련하지 않았고, 일부 개발자(O명)에게 데이터 변경, 수정, 삭제 권한을 부여하고 있어 승인절차 없이 개발자가 임의로 데이터를 변경할 우려가 있으며

해외카드 승인업무를 위한 데이터베이스 테이블의 경우 총 O,OOO건 중 O,OOO건의 카드번호가 평문으로 저장되어 있어 마스킹 및 암호화 되지 않은 고객의 카드번호가 무단 조회 및 유출될 우려가 있으므로

데이터베이스 변경 절차를 구체화하여 내규 등으로 마련하고, 데이터베이스 관리자 외에 개발자가 업무상 불필요하게 데이터 변경, 수정, 삭제 권한을 갖지 않도록 통제절차를 마련하는 한편, 데이터베이스에 카드번호 등 주요정보를 저장하는 경우 마스킹 처리 또는 암호화하여 보관 필요

(2) 정보유출방지 대책 불합리

회사는 사내 전산자료의 공유를 위하여 OO 드라이브(클라우드 서비스)에 중요 자료를 보관·공유하고 있어, 계정정보가 탈취될 경우 회사의 중요 정보가 유출될 우려가 있고

단말기에 저장된 이용자 정보를 보호하기 위한 대책이 마련되어 있지 않아, 단말기 내 이용자 정보 보유현황 파악 및 개인정보 유출 방지 등이 어려우므로

클라우드 서비스에 중요 정보가 저장되지 않도록 관리를 강화하고, 단말기에 저장된 이용자 정보를 보호하기 위한 대책 마련 필요