롯데손해보험주식회사 금감원 경영유의사항 · 2017-02-23

개선사항 공개

개선사항 공개

1. 금융기관명 : 롯데손해보험㈜

2. 제재조치일 : 2017. 2. 23.

3. 제재조치내용

제재대상

제재내용

기 관

개선사항 3건

제재대상

제재내용

기 관

개선사항 3건

※ 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 제재대상사실

가. 개선사항

(1) 정보유출 방지대책 불합리

(가) 정보유출 방지를 위하여 매체제어 시스템을 운영하면서 해당부서 책임자 승인 하에 외부 저장장치에 저장권한을 부여하고, 문서보안 솔루션(DRM)을 도입·운영하고 있으나, 보안 USB를 운영하지 아니하여, 외부 저장장치별 통제가 되지 않아 외부 저장장치에 대한 저장 승인 후 일정기간 동안 다수의 저장장치에 대량의 데이터가 저장되거나 동 저장장치 분실시 외부인이 열람할 우려가 있으며 DRM으로 암호화된 문서의 내용을 암호화되지 않은 문서로 복사·붙여넣기가 가능한 상태로 운영하고 있는 등 문서보안 솔루션 관리·통제 절차가 미흡하므로 앞으로 내부자료 반출시 보안USB 등을 이용하여 등록된 저장장치만 사용할 수 있도록 하는 등 저장장치에 대한 관리·통제 방안을 마련하고, 문서보안 솔루션 운영 정책을 개선하는 등 PC에 대한 정보유출 방지대책을 강화하시기 바람 (나) 외부 ◯◯◯◯업체가 위탁받은 ◯◯◯◯ 업무를 수행하기 위해 인터넷망을 통해 고객의 개인정보 및 보험계약 정보 등 다양한 정보를 조회할 수 있는 '◯◯◯ ◯◯◯◯ 시스템'을 운영함에 있어 사전에 등록한 PC만 조회가 가능하도록 운영하고 있으나, 위탁업무가 종료된 건에 대해서도 고객정보 조회가 가능하고, 화면 캡처 방지 및 출력물 통제가 이루어지지 않아 고객정보 보호가 미흡할 우려가 있으므로 앞으로 위탁업무가 종료된 건에 대해서는 조회를 제한하고, 화면캡처 방지 및 출력물 통제를 실시하는 등 외부 수탁업무 시스템에 대한 정보유출 방지대책을 강화하시기 바람

(2) 재해복구시스템 구축 및 전환훈련 실시 미흡

기간계 시스템 등 주요 핵심업무에 대하여 재해복구(DR)시스템을 구축‧운영하고 매년 재해복구훈련을 실시하고 있으나, 재해복구센터에 대외기관과 연결되는 회선이 마련되어 있지 않아 재해복구훈련시 보험료 수납, 지급이체 결재·조회 등 대외기관과 연결이 필요한 일부 사항은 테스트를 실시하지 않고 있으므로 앞으로 재해복구센터와 주요 외부기관과의 회선을 마련하고, 재해복구훈련시 대외기관 연계업무 테스트를 확대 실시하는 등 실제 재해 상황 발생시 재해복구시스템이 정상 가동될 수 있도록 재해복구업무를 개선하시기 바람

(3) 정보처리시스템 비밀번호 관리 불합리

정보처리시스템의 비밀번호를 숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정하고 분기별 1회 이상 변경하고 있는 등 전산시스템 비밀번호를 운영·관리하고 있으나 비밀번호 설정시 최소 암호길이, 최근 비밀번호 제외, 특수문자·숫자 포함 등을 시스템에서 강제화하지 않아 비밀번호 복잡도 관련 규정에 맞지 않게 설정될 우려가 있고 ◯◯◯◯◯◯에 웹서버 11대의 비밀번호를 단순한 규칙으로 암호화하여 보관하고 있으며, 일부 정보처리시스템의 사용자 비밀번호를 보안 강도가 미약한 알고리즘으로 암호화하여 저장하고 있어 해킹 등에 의한 비밀번호 노출 가능성이 있으므로 앞으로 비밀번호 규칙을 시스템을 통해 설정하여 관리할 수 있도록 개선하고, 서버 설정파일에 저장된 비밀번호 및 정보처리 시스템 사용자 비밀번호를 보안성이 검증된 일방향 암호화 알고리즘을 이용하여 암호화하는 등 비밀번호 관리 정책을 개선하시기 바람