롯데카드(주) 금감원 제재공시 · 2014-10-28

<붙임>

제재내용 공개안

1. 금융기관명 : 롯데카드㈜

2. 제재조치일 : 2014. 10. 28.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기관 | 경영유의 3건, 개선 3건, 과징금 50백만원, 과태료 6백만원 ※ 2014.2.16. 업무일부정지 3개월 및 과태료 600만원 기조치 임원 | 해임권고 상당 1명, 문책경고 1명, 주의적경고 상당 2명 직원 | 면직 상당 1명, 정직 3월 4명, 감봉 3월 5명, 감봉 3월 상당 2명, 견책 3명, 견책 상당 1명, 기타 관련직원 조치의뢰 [/표]

4. 제재대상사실

가. 경영유의사항

⑴ 재해복구시스템 구축 강화

자연재해 등 전산센터 마비에 대비하여 승인계(오프라인 승인 및 현금서비스 등) 업무에 대해서는 재해복구시스템을 구축하여 가동중이나, 업무계 업무(카드발급, 회원관리 등) 및 온라인 쇼핑몰 등 인터넷망을 이용한 카드결제와 홈페이지 등에 대하여는 구축작업을 검토중에 있는바,

화재 등 재해발생시 서비스 중단으로 고객서비스 불편 등을 초래할 수 있으므로 조속한 시일내에 업무계 및 인터넷망 재해복구시스템을 마련할 필요가 있음

⑵ 외부주문 업무 재위탁에 대한 통제 철저

○○○○○○㈜ 등 외부주문업체에 대해 전산처리업무를 위탁함에 있어 수탁업체가 사전 서면에 의한 명시적 동의없이 일부 업무를 재위탁*하는 경우 재위탁시 사전동의를 받도록 한 관련 규정에 저촉될 소지가 있으므로

* 2010.1월～2014.1월 기간중 ○○○○○○㈜는 ◍◍◍ 등 8개 업체에 카드시스템 운영 등 재위탁

수탁업체가 업무를 재위탁하는 경우에는 사전에 재위탁 내용 등이 포함된 문서를 받아 내부 결재를 거치도록 하는 등 외부주문업무 재위탁에 대한 통제를 철저히 할 필요가 있음

⑶ 신용정보 조회기록에 대한 점검절차 강화

직원의 조회권한 남용여부 및 권한 부여 적정성 여부 등을 정기적으로 점검하고는 있으나 과다조회 기준, 점검주기 등이 관련 내규에 명시되어 있지 아니하고 체계적인 모니터링 방법을 마련하지 않아 효율적인 관리가 이루어지지 않고 있는바,

향후 점검기준 및 주기 등 관련기준을 마련하는 한편 상시점검이 가능하도록 상시모니터링시스템을 구축·운영할 필요가 있음

나. 문책 및 조치의뢰사항

⑴ 고객정보 보호대책 미비로 인한 대량 고객정보 부당 유출

｢여신전문금융업법｣ 제24조, ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 및 ｢전자금융거래법｣ 제21조, 제21조의2 및 제40조 등에 의하면 신용카드업자는 신용카드회원등의 신용에 관한 자료 또는 제반 정보가 외부에 유출되지 아니하도록 하여야 하며, 신용정보전산시스템에 대한 제3자의 불법적인 접근 등 위험에 대하여 기술적･물리적･관리적 보안대책을 세워야 하고, 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 하는 한편 외부주문에 관한 계약을 체결하는 때에도 이를 위해 금융위원회가 정하는 기준을 준수하여야 하는데도, 2007.10.1.~2013.12.12. 기간중 6건의 카드부정사용방지시스템(FDS*) 개발사업을 추진하면서 데이터 변환, 외부매체 접근 제한 등 정보보호를 위하여 필요한 조치를 제대로 취하지 않는 등 다음(㈎~㈔)과 같이 고객정보 관리와 전산자료 보호대책의 수립․운용 및 관련 내부통제업무를 소홀히 함에 따라

* FDS(Fraud Detection System) : 특정 가맹점에서 이상유형 거래가 발생할 경우 즉시 회원에게 전화 또는 SMS로 거래의 진위여부를 확인할 수 있는 시스템

2010.4월 및 2013.12월경 외주업체 직원(◌◌◌)*에 의해 2차례에 걸쳐 신용카드회원**의 신용정보 등 각각 8,105,789건, 9,869,398건을 포함한 각 10,231,015건, 26,882,415건, 총 26,882,667건의 이용자 정보***가 보조기억매체(USB 등)에 수록되어 외부로 유출되는 등 대량의 고객정보 유출사고가 발생하여 이용자의 권익 및 금융회사의 건전경영을 심각하게 해치고 사회적 물의를 일으켰음

* ㈜◇◇◇◇ : 2009.11월~2011.11월, ◎◎◎◎◎◎◎◎㈜ : 2012.5.1.~검사종료일 현재

** 직불카드회원 및 선불카드 소지자 포함

*** 신용카드회원 정보에 탈회회원 및 가맹점 정보 등 포함

고객정보 유출 현황

(단위 : 건)

[표]

유출 시점 | 유출된 정보 내역 |

유출 정보 | 신용카드회원의 신용정보 등

2010.4월경 | 3개 원장 (개인정보,회원정보,카드정보) | 10,231,015 | 8,105,789 2013.12월경 | 8개 원장 (개인정보 4개, 회원정보 1개, 카드정보 1개, 복수카드정보 2개) | 26,882,415 | 9,869,398 [/표]

㈎ FDS 개발 관련 테스트 시 이용자 정보 미변환 제공 및 통제 불철저

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조, 舊 ｢전자금융감독규정｣ 제6조, 舊 ｢전자금융감독규정시행세칙｣ 제9조, 내규 ｢정보보호규정｣ 제113조제6항 등에 의하면 금융회사 등은 전산자료의 유출, 파괴 등을 방지하기 위하여 테스트시 이용자 정보의 사용을 금지하되 부하 테스트 등 사용이 불가피한 경우에 한하여 주관부서장의 승인을 받은 후 이용자 정보를 변환하여 사용하여야 하는데도,

① 2007.10.1.～2013.12.12. 기간중 총 6회의 FDS 개발과 관련하여 이용자 정보를 변환하지 아니하고 테스트(모형개발 등) 데이터로 사용하는 등 이용자 정보에 대한 통제가 제대로 이루어지지 않고 있음에도 이에 대한 적절한 보안대책을 마련하지 아니하였으며, 전자금융감독규정 등 관련법규가 제대로 준수되고 있는지를 점검·시정하지 아니하였음

② 2007.10.1.～2013.12.12. 기간 중 6회의 FDS 개발과 관련하여 정보기획팀 및 준법감시팀의 합의하에 분석프로그램(SAS)을 통한 FDS 모형개발에 필요한 신용카드회원 등의 정보와 승인거래정보 등*을 업무계 및 FDS의 운영시스템에서 추출**하여 이용자 정보를 변환하지 않은 상태로 외부 개발업체 직원에게 제공하였으며,

* 고객(회원)/카드/가맹점원장, 승인원장, 한도정보, 연체/대손/대환/신용회복/입금/청구/복수카드정보, 사고DB 등

** 외주업체인 ○○○○○○㈜에 작업 지시하여 추출

또한, 2013.11.23.∼2013.12.9. 기간중 차세대시스템과의 통합 연계테스트를 진행하면서 외부 개발업체 직원이 접근 가능한 FDS 개발용서버에 대해 별다른 통제장치나 보안대책없이 신시스템 형식에 부합하는 이용자 정보(성명, 주민등록번호, 주소, 전화번호, 카드번호 등)를 변환하지 않고 수록하여 테스트를 진행함으로써 외부 개발업체 소속직원(◌◌◌)이 2013.12.9.경 이용자 정보가 포함된 6개 원장을 추출하여 외부로 유출하는 결과를 초래하였음

[표]

신용카드부정사용방지시스템(FDS) 외주현황

FDS 개발사업 | 계약기간 | 외주업체

FDS 시스템 리모델링 | 2007.10.01. ~ 2007.12.31. | ㈜◇◇◇◇ FDS 스코어 리모델링 | 2009.09.21. ~ 2010.02.22. | ㈜◇◇◇◇ FDS카드론 및 해외 스코어 모델링 구축 | 2010.12.01. ~ 2011.05.02. | ㈜◇◇◇◇ FDS 스코어 리모델링 | 2011.11.28. ~ 2012.04.27. | ◎◎◎㈜ 본인확인 강화 모니터링 시스템 개발 | 2012.11.22. ~ 2013.04.22. | ◎◎◎㈜ 카드부정사용방지시스템(FDS) 리뉴얼 및 현금융통 스코어 리모델링 | 2013.05.13. ~ 2013.12.12. | ◎◎◎㈜ [/표]

㈏ 외부주문시 개발업체 직원 사용 PC에 대한 반출·입 통제 불철저

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제8조, 제12조 및 제13조, 제60조, 舊 ｢전자금융감독규정시행세칙｣ 제3조, ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢정보보호규정｣ 제26조 등에 의하면 금융회사는 외부주문 등의 경우 투입인력에 대한 사전 신원조회 또는 대표자의 신원보증서를 징구하고 접근매체 위･변조, 해킹, 개인정보유출 등에 대비한 보안대책을 수립하는 한편 정보관리의 취약점을 최소화하고 보안유지를 위한 내부통제방안을 수립･운용하되 통제는 회사내부 조직과 인력이 수행하여야 하며,

사용자가 단말기에서 업무와 무관한 정보가 저장된 보조기억매체에 접근하는 것을 통제하고, 단말기에 이용자 정보 등 중요정보 보관과 이용자 금융정보의 무단보관 및 유출을 금지하며, 전산장비의 반출입 통제와 외부인력에 대한 계약의 완료 또는 외부인력의 복귀, 퇴직 등의 경우 사용중인 정보자산을 회수하는 등 정보유출을 철저히 방지하여야 하는데도,

① 2011.11월 이전까지 외주직원이 반입하는 PC 등 모든 전산장비에 대한 반출․입에 대하여 내부조직인 프로젝트 주관부서 및 정보보호담당부서의 통제없이 IT아웃소싱업체인 ○○○○○○㈜에서 전담수행토록 운영하여

2009.9.21.~2010.3.31. 기간중 추진한 FDS개발 프로젝트의 종료 후 외부반입 PC의 하드디스크 포맷업무를 외주업체 직원이 수행하도록 방치하였으며,

2010.1.14.~2010.2.1. 기간중 외주 개발업체 직원(㈜◇◇◇◇ ◌◌◌)이 반입한 PC에 장착된 하드디스크 반출입 통제를 소홀히* 하였음

* 2010.4월경 외주업체 직원이 이용자 정보가 수록된 하드디스크를 분리하여 외부로 반출

② 2011.12월 외주업체 직원의 전산장비에 대한 통제업무를 정보기획팀에서 수행토록 변경한 이후 2012.8.2. 자체감사결과 정보기획팀이 전산장비 반출·입 통제를 소홀히 하고 있음을 지적받았음에도 외주직원에 의한 고객정보 유출 방지를 위한 보안대책을 강구하지 아니하였음

③ 2013.9.9.경 FDS 개발 관련 외주업체 직원(◎◎◎㈜ ◌◌◌)이 데스크탑 PC 2대를 반입한 것을 인지하고도 이에 대한 통제기록(프로젝트 투입신청서)을 작성하지 아니하고 PC 보안프로그램 설치, 점검 통제부서인 정보기획팀에 통보하지도 아니하였음

④ 무단 반입된 데스크탑 PC(2대)가 고객정보 정보유출시점인 2013.9.9.~2013.12.10. 기간중 ESCORT*, DRM** 등 보안프로그램이 설치되지 아니한 상태에서 장기간 사용되고 있었고 외주업체 직원 PC에 고객정보 보관과 PC간 공유설정이 가능한 상태이었음에도 이에 대한 관련 점검 등을 소홀히 하였음

* ESCORT : PC의 USB 등 외부 저장장치의 쓰기기능, 공유폴더 설정, 무선 네트워크 등을 방지하는 보안용 프로그램

** DRM : 한글, 엑셀, 워드 등의 문서 저장 시 파일을 암호화하여 파일이 외부로 유출되어도 열어볼 수 없도록 하는 보안용 프로그램

⑤ 2011.10월~2013.4월 기간중 IT아웃소싱업체인 ○○○○○○㈜ 등 외주직원에 대하여 사전에 신원조회를 실시하거나 대표자의 신원보증서를 받지 아니하였으며,

2011.11월~2012.11월 기간중 “FDS 스코어 리모델링” 및 “본인확인강화 모니터링 시스템” 개발 등 2건의 FDS시스템 개발관련 프로젝트 수행 외주직원(12명)에 대하여 사전에 신원조회를 실시하거나 대표자의 신원보증서를 받지 아니하였음

㈐ 프로그램 전용계정 사용에 대한 통제 불철저

｢전자금융거래법｣ 제21조, ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢전자금융감독규정｣ 제13조 및 ｢신용정보업감독규정｣ 제20조, 내규 ｢정보보호규정｣ 제118조 등에 의하면 금융회사 등은 신용정보처리시스템에 대한 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여하고, 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 입력·출력·열람을 위한 사용자계정과 비밀번호를 개인별로 부여하되 등록·변경·폐기를 체계적으로 관리하며 데이터베이스관리자 이외의 사용자가 전용프로그램을 이용하여 데이터베이스에 접속하는 것은 제한하며 업무상 필요한 경우 반드시 해당부서의 승인을 득하고, 전산적으로 접근 및 사용이력을 기록 보관하여야 하는데도

① 2013.5월 이후 데이터베이스 접근제어 시스템을 운영함에 있어 FDS 서버가 아닌 개인 PC에서 프로그램 전용계정(******)을 통해 데이터베이스(FDS 운영 DB)에 접근하는 것이 가능하였음에도 이를 통제하거나 보안정책을 수립하지 아니하였음

② 개인에게 부여하여서는 아니되는 프로그램 전용계정(******)과 비밀번호를 내부직원(2명) 및 외부 개발업체 소속직원(7명) 등 9명에게 제공함으로써 2013.12.7.경 외주업체 직원(◌◌◌)이 FDS 운영 DB에 접속하여 복수카드정보를 유출하는 결과를 초래하였음

㈑ 전산시스템 가동내역 및 중요원장 작업내역 기록 유지 불철저

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조, 舊 ｢전자금융감독규정시행세칙｣ 제22조, ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업감독규정｣ 제20조 등에 의하면 금융회사등은 정보처리시스템의 가동기록은 1년이상 보존하고, 이용자 중요원장에 직접 접근하여 중요원장을 조회, 수정, 삭제 및 삽입하는 경우에는 작업자 및 작업내용 등을 기록하여 5년간 보존하여야 하며, 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적 및 용도 등의 기록을 관리하여야 하는데도

2013.6월~2013.12월 기간중 FDS 개발용 서버에 이용자정보가 변환되지 않은 상태로 수록되어 운영되고 있었음에도 전산자료의 사용내역 확인에 필요한 정보처리시스템 가동기록을 자동 기록․유지하지 아니하였으며,

전산업무 담당자가 업무계시스템 및 FDS시스템 등 이용자 정보가 수록되어 있는 데이터베이스에 직접 접속하여 수행한 작업내역을 5년간 보존하여야 함에도 이를 보존하지 아니하였음

㈒ 보안성 검토 및 보안점검 업무 등 불철저

｢전자금융거래법｣ 제40조, ｢전자금융감독규정｣ 제60조 등에 의하면 금융회사가 전자금융거래를 위한 외부주문 등의 경우에는 외부주문에 대한 자체 보안성 검토, 정기적 보안점검 및 위험분석을 실시하여야 하는데도

① 2011.11.28.~2013.12.12 기간중 “카드부정사용방지시스템(FDS) 스코어 리모델링 구축” 등 3건의 FDS 개발 외부주문 계약을 체결하였음에도 이에 대해 보안성 검토를 실시하지 아니하였으며,

② 2010년~2013년 기간중 외주업체 및 □□□팀 등 현업부서에 대하여 보안점검 및 위험분석을 실시하지 아니하였음(2013년중 ○○○○○○㈜에 대해서만 보안점검 실시).

㈓ 신용정보관리･보호인의 신용정보 보호대책 수립·운용 소홀

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업감독규정｣ 제20조 등에 의하면 신용정보회사등은 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대한 기술적·물리적·관리적 보안대책으로서 접근통제, 접속기록의 위･변조 방지, 개인신용정보의 암호화 등의 보안대책을 수립하여야 하고 신용정보관리･보호인은 임직원의 신용정보 관리･보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하여야 하는데도

2009.9.21.～2013.12.12. 기간중 개인(신용)정보를 취급한 5건의 FDS프로젝트 외부주문과 관련하여 신용정보처리시스템에 대한 접근통제, 접속기록 관리 등 신용정보 보호를 위하여 기술적･물리적･관리적 보안대책의 수립･운영 현황을 점검하고 문제점을 시정토록 하는 등 임직원의 관련 법령 준수여부에 대한 점검업무를 소홀히 하였음

㈔ 자체감사업무 불철저

｢여신전문금융업법｣ 제50조의6, 내규 ｢감사위원회직무규정｣ 제3조, 제5조, ｢IT감사지침｣ 제12조, 제16조 등에 의하면 매년 IT 감사를 시행하여야 하고 감사 범위는 IT기획부문, IT개발부문, IT운영부문 및 IT보안부문 등 IT업무 전반을 대상으로 점검하는 것을 원칙으로 하고 있는데도,

2010년~2012년 기간중 검사인력이 5명에 불과하다는 이유로 2010년∼2011년 기간중 IT감사업무를 미이행하였으며, 2013.11월 IT부문 종합감사시에는 IT보안부문 중 아웃소싱 용역관리 및 정보보안의 적정성, 정보자산 취급의 적정성, 시스템 개발 보안활동의 적정성 및 사용자 접근관리의 적정성, IT개발부문의 프로젝트 관리 절차의 적정성과 IT운영부문의 데이터 관리절차 및 내용의 적정성 및 내부통제방안 등 운영관리의 적정성 등에 대한 감사를 실시하지 아니하였음

< 관련규정 >

- ｢여신전문금융업법｣ 제24조, 제50조의6 - ｢여신전문금융업법 시행령｣ 제7조의2, 제19조의10 - ｢여신전문금융업감독규정｣ 제24조의7

- ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 - ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 - ｢신용정보업감독규정」제20조

- ｢전자금융거래법｣ 제21조, 제21조의2, 제40조 - ｢전자금융거래법 시행령｣ 제11조의3

- ｢전자금융감독규정｣ 제7조, 제8조, 제12조, 제13조, 제60조 - 舊 ｢전자금융감독규정｣ 제6조, 제31조 - 舊 ｢전자금융감독규정시행세칙｣ 제3조, 제9조, 제22조 - 내규 ｢내부통제기준｣ 제3조, 제6조

- 내규 ｢정보보호규정｣ 제5조, 제10조, 제26조, 제49조, 제50조, 제51조, 제63조, 제78조, 제22조 - 내규 ｢준법감시인운영규정｣ 제7조, 제10조, 제12조 - 내규 ｢개인신용정보관리보호지침｣ 제20조, 제22조, 제23조 - 내규 ｢감사위원회직무규정｣ 제3조, 제5조, 제17조 - 내규 ｢감사운영세칙｣ 제5항, 제6항 제14호 - 내규 ｢IT감사지침｣ 제12조, 제16조 등

⑵ 보유목적없는 고객정보 관리 불철저

｢여신전문금융업법｣ 제50조의6, 내규 ｢정보보호규정｣ 제69조, 내규 ｢개인정보처리방침｣ 제3장 및 ｢개인정보취급방침｣ 제7장 등에 의하면 개인정보를 폐기하지 않고 보존하여야 하는 경우에는 해당 개인정보는 다른 개인정보와 분리하여 저장, 관리하여야 하며, 개인정보의 처리목적 및 개인정보의 수집 목적을 달성한 때에는 개인정보를 지체없이 파기하여 하는데도

2013.1.14. 현재 개인정보의 수집·이용 등 처리목적이 소멸한 탈회, 사망, 심사탈락자 등 6,611,379건의 고객정보를 별도로 보관하지 아니하였음

< 관련규정 >

- ｢여신전문금융업법｣ 제50조의6

- ｢여신전문금융업법 시행령｣ 제19조의10 - ｢개인정보보호법｣ 제21조

- 내규 ｢정보보호규정｣ 제69조

- 내규 ｢개인정보처리방침｣ 제2장, 제3장 - 내규 ｢개인정보취급방침｣ 제7장

⑶ 신용카드모집인에 대한 개인신용정보 부당 제공 등

㈎ ｢신용정보의 이용 및 보호에 관한 법률｣ 제32조 등에 의하면 신용정보제공·이용자는 개인신용정보를 타인에게 제공할 경우 제공받는 자의 이용목적을 알리고 미리 동의를 받아야 하는데도

2010.5.28.~2014.2.26. 기간중 회원의 동의없이 신용카드모집인에 대하여 “신규회원이용여부조회” 화면을 통해 자신이 모집한 신용카드회원의 신용카드 이용실적과 현금서비스 사용여부 등을 조회*할 수 있도록 조회권한을 부여**하였음

* 동 ‘신규회원이용여부조회’ 화면에는 성명, 주민번호 7자리(성별 포함), 전화번호, 상품명, 탈회 여부, 신용카드 이용(구간)금액, 현금서비스 사용여부 등 표시

** 대상기간중 신용카드모집인 13,665명, 신규회원 1,450,587명

㈏ ｢여신전문금융업법｣ 제24조, ｢여신전문금융업법 시행령｣ 제7조의2 및「여신전문금융업감독규정」제24조의7 등에 의하면 신용카드업자는 신용카드회원등이 신용정보업자 및 신용정보집중기관 이외의 제3자에 대한 신용정보제공 동의를 거절하였다는 것을 사유로 신용카드등의 발급을 거절하여서는 아니 되는데도

2012.10.1. “개인(신용)정보 제공 동의서” 양식을 변경하면서 제3자인 신용카드모집인에 대해 “카드 가입 및 이용권유” 목적 개인신용정보 제공을 필수 동의사항으로 정하여 고객이 동의하지 않는 경우 신용카드 발급을 받을 수 없도록 하는 방식으로 신용카드회원을 모집하였음 ㈐ ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업감독규정｣ 제20조 등에 의하면 신용정보관리·보호인은 임직원의 관련 법령 및 내부관리규정 등의 준수여부, 신용정보 관리부서의 고객 신용정보 조회 건수에 대해 점검하여야 하는데도

위 ㈎와 같이 신용카드모집인에게 개인신용정보가 제공되고 있음에도 개인신용정보 조회권한 부여의 적정성, 개인신용정보 조회기록의 이상 유무 등을 점검하지 아니하였음

< 관련규정 >

- ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 32조 - ｢여신전문금융업법｣ 제14조의2, 제24조 - ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 - ｢여신전문금융업법 시행령｣ 제7조의2

- ｢신용정보업감독규정｣ 제20조

- ｢여신전문금융업감독규정｣ 제24조의7

다. 개선사항

⑴ 신용카드부정사용방지시스템의 고객정보 연계방법 개선

신용카드부정사용방지시스템(FDS)의 운영목적상 고객정보의 보유범위는 유효회원에 한정하여야 하고, 스코어모형 및 탐색 룰의 적용결과 사고조사에 필요한 경우 여타 정보는 필요시점에 조회하여 활용하는 것이 보다 합리적인데도

FDS에 신용카드를 소유하지 아니한 탈회고객 등의 고객정보를 포함하는 등 보유범위가 과도한 측면이 있어, 전산시스템 설계, 개발 및 운영단계에서 고객정보의 활용에 관한 검토가 심도있게 이루어지지 아니하여 예상치 못한 고객정보의 노출 우려가 있으므로

동 시스템의 운영목적을 달성하면서도 필요한 최소한의 고객정보 및 거래정보만을 안전하게 사용할 수 있도록 업무시스템과 고객정보 연계방법을 개선하고 불필요한 고객정보 및 거래정보는 삭제 조치하는 등 FDS내의 고객정보 관리방식을 합리적으로 개선하시기 바람 ⑵ 외부 업체와의 자료 송수신 방법 개선

대용량 파일(가이드북, 카드 이미지, 상품 팜플랫 등 인쇄용 파일)을 외부 제작업체와 공유하기 위하여 준법감시팀의 승인 후 사설 웹하드를 이용하고 있으나,

사설 웹하드는 불특정 다수에 의한 파일 공유가 가능하므로 회사의 중요 정보나 고객정보가 외부로 유출될 가능성이 있고, 보안상 검증되지 않은 불법 프로그램이나 파일 다운로드를 통해 악성 프로그램이 회사 내부로 유포되어 전산시스템에 악영향을 초래할 위험이 있으므로

외부 업체와의 자료 송수신 방법을 회사의 중요정보 또는 고객정보의 유출 위험이 없는 합리적인 방법으로 개선하시기 바람

⑶ 고객정보 보유 점검시스템 운영 개선

PC저장 고객정보의 관리실태 등을 점검하기 위한 시스템을 2010.12월~2011.3월중 구축하였으나,

개발자가 사용하는 DB 조회 프로그램을 사용하여 데이터를 PC에 저장시 동 시스템이 적용되지 않으며, 과도보유 알림기능의 부재 등으로 적기 점검에 어려움이 있으며,

2013년에는 동 시스템 운영에 대한 인수인계미흡, 체계적인 점검방식 등의 불비로 시스템을 이용한 수시 모니터링을 하지 아니하고 현장점검시 일부 항목으로 운영하고 있는바, 검색 패턴 재정비, 검색기능 Up-grade 및 점검방식 보완 등을 통하여 적기에 모니터링할 수 있도록 관련 시스템을 개선하시기 바람