농협생명보험주식회사 금감원 제재공시 · 2013-12-04

제재내용 공개안

1. 금융기관명 : 농협생명보험

2. 제재조치일 : 2013. 12. 4.

3. 제재조치내용

제재대상 제재내용

기 관 기관주의

임 원 주의 2명

직 원 견책 2명

4. 제재대상사실

가. 문책사항

(1) IT운영업무 수탁업체에 대한 통제 관리 소홀로 전산장애 사고 발생

① 부적절한 IT인력 운용으로 외부주문 통제 관리 부적정

전자금융거래법 제21조, 제21조의2 및 전자금융감독규정 제7조, 제8조에 의하면 금융기관은 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자를 총자산과 종업원 수에 따라 임원으로 지정하여야 하며, 외부주문 등에 관한 계약을 체결하는 때에는 자체적 으로 통제가 가능하도록 회사내부에 조직과 인력을 갖추어야 하는데도 농협생명보험은 임원이 아닌 직원을 정보보호최고책임자로 임명하였고, 중앙회에 위탁한 IT운영 및 정보보호 업무를 적절히 통제 관리하기 위한 자체 인력을 충분히 갖추지 아니하여 중앙회가 정보보호 업무를 소홀히 하였음에도 이에 대한 통제 관리를 적절히 수행하지 못하게 되는 원인을 제공하였음

② 중앙회에 위탁한 IT운영업무에 대한 관리 소홀

전자금융거래법 제21조 및 전자금융감독규정 제7조, 제22조에 의하면 금융기관은 정보처리시스템의 안정성 및 효율성 확보를 위하여 전자금융업무와 관련된 외부주문에 대한 감리 기준 등을 포함한 정보처리시스템 감리 지침을 작성 운용하여야 함에도 - 1 -

농협생명보험은 중앙회의 IT업무 운영에 대한 별도의 감리지침을 마련하지 않았을 뿐 아니라 이에 대한 감리도 실시하지 않았으며, 중앙회의 IT업무 운영실태 등에 대한 관리 감독을 실시하지 아니하였음

③ 외부주문에 대한 보안대책, 비상대책 미수립 및 점검 미실시

전자금융거래법 제21조, 전자금융감독규정 제7조, 제23조, 제60조에 의하면 금융 기관은 외부주문을 하는 경우 장애 재해 파업 테러 등에 대비하여 업무지속성 확보방안

· · ·

및 비상대책을 수립하여야 하고, 해킹, 개인정보유출 등에 대비한 보안대책을 수립하여야 하며, 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립 운용하여야 ․

하고, 자체적인 보안성 검토 및 정기 보안점검을 실시하여야 하는데도, 농협생명보험은 IT부문에 대한 업무지속성 확보방안이 미흡하고, 전자적 침해 등에 대비한 자체 비상대책을 수립하지 아니하였으며, 중앙회에 대한 내부통제방안을 마련 하지 않았고, 위탁업무에 대한 자체적인 보안성 검토를 실시하지 않았으며, 위탁 이후에도 중앙회의 보안대책 이행현황에 대해 정기 점검을 실시하지 않았음

④ 3.20 전산 해킹사고 이후 대응 불철저

외부해킹으로 전산사고가 발생하여 금융회사로서의 공신력이 크게 훼손 2013.3.20.

되었음에도 중앙회에 대한 별도의 조사 감사 등의 실효성 있는 조치를 취하지 아니하여, 인터넷 금융거래서비스가 중단되는 장애가 추가로 발생하였음 <관련규정>

1. 전자금융거래법 제21조, 제21조의2

「 」

2. 전자금융감독규정 제7조, 제8조, 제22조, 제23조 및 제60조

「 」

(2)전산데이터 백업 및 소산 관리 부적정

전자금융거래법 제21조, 전자금융감독규정 제7조, 제8조, 제13조 및 제60조에 의하면 금융기관은 외부주문 등의 경우에 업무지속성을 위한 중요 전산자료의 백업자료 보존 등 백업대책을 수립하여야 하며, 전산자료의 파괴 등을 방지하기 위하여 중요도에

따라 전산자료를 정기적으로 백업하여 원격 안전지역에 소산하고 백업내역을 기록 관리 ·

하고 해당 백업 전산자료에 대하여 정기적으로 검증하도록 외부주문업체를 통제하여야 하는데도,

- 2 -

농협생명보험은 중앙회의 백업 및 소산업무가 적절하게 운영되지 아니함에도 이에 대한 통제 관리 업무를 소홀히 하여 백업자료가 훼손된 사실을 인지하지 못하였으며 중앙회가 자료를 백업 및 소산하지 아니하였음에도 이를 적절히 통제하지 않았음 < 관련규정>

1. 전자금융거래법 제21조

「 」

2. 전자금융감독규정 제7조, 제8조, 제13조 및 제60조

「 」

나. 주의사항

(1)용역계약관리 불철저

전자금융거래법 제21조, 전자금융감독규정 제7조, 제21조에 의하면 금융기관은 정보처리시스템 구축 계약 체결 시에 객관적인 업체 선정 기준 및 절차를 마련 운용하여야

·

하는데도,

농협생명보험은 과 ◇◇시스템 구축 프로젝트 관리와 관련한 용역계약을 체결 ◉◉

함에 있어, □□부터 의 인력이 투입되었으나, 인력 투입 전에 관련 계약을 체결하지 ◉◉

아니하고 기간을 소급하여 용역계약을 체결하였음 <관련규정>

1. 전자금융거래법 제21조

「 」

2. 전자금융감독규정 제7조, 제21조

「 」