한국씨티은행 금감원 제재공시 · 2014-10-17

[표]

제재내용 공개(안)

[/표]

1. 금융기관명 : ㈜한국씨티은행

2. 제재조치일 : 2014. 10. 17.

3. 제재조치 내용

[표]

대상 | 내용

기 관 | 기관경고, 과태료 부과(600만원), 경영유의 3건 임 원 | 주의적경고 1명

직 원 | 감봉3월(상당포함) 5명, 견책 2명, 주의(상당) 1명, 조치 생략(1명, 은행 자체적으로 면직 처리), 조치의뢰 1건 [/표]

4. 제재대상사실

가. 문책 및 조치의뢰 사항

(1) 개인신용정보의 업무목적 외 부당 유출 등

㈎ 개인신용정보의 업무목적 외 부당 유출

｢신용정보의이용및보호에관한 법률｣ 제32조 제1항, 제33조 및 제42조 제1항에 의하면 개인신용정보를 타인에게 제공하는 경우에는 해당 개인으로부터 미리 동의를 받아야 하고, 업무상 알게 된 타인의 신용정보 등 개인적 비밀을 업무목적 외에 누설하거나 이용하여서는 아니 되는데도,

① ○○○○○○○ ☆☆ ☆☆☆은 2012.12.3.~2013.9.12. 기간중 은행 내부전산망에 접속하여 영업점정보지원시스템으로부터 총 40,510건의 고객신용정보*를 A4용지로 출력하여 타인(■■■)에게 업무목적 외로 유출하였음

* 8개 항목 : 고객명, 휴대폰, 신규일, 만기일, 이율, 한도, 잔액, 직장명

② 또한 한국씨티은행에서 2009.12월~2012.1월에 신규 취급된 총 29,610건의 고객신용정보*가 추가 유출된 사실이 확인되었음(유출자 확인불가)

* 대출계좌번호(대출고객) 또는 카드번호(카드고객), 성명, 전화번호, 휴대전화번호 등

※ 검찰 등으로부터 제출받은 자료로서 고객정보가 한국씨티은행의 DB와 일치하여 동 은행으로부터 유출되었음을 확인하였으나, 유출자 및 유출경위는 조회 및 다운로드에 대한 구체적인 로그기록이 없어 확인하기 어려움

< 관련규정 >

1. ｢신용정보의이용및보호에관한 법률｣ 제32조 제1항, 제33조, 제42조 제1항

㈏ 개인PC 내 고객정보 부당 보관

｢전자금융거래법｣ 제21조 제2항 및 ｢전자금융감독규정｣ 제13조 제1항 등에 의하면 단말기에 이용자 정보 등 주요정보를 보관해서는 아니되고, 불가피하게 단말기에 보관할 필요가 있는 경우 보관사유, 보관기간 및 관리 비밀번호 등을 정하여 책임자의 승인을 받아야 하는데도,

○○○○○○○ ☆☆ ☆☆☆은 2010.3.5.∼2013.9.4. 기간중 책임자의 승인을 받지 아니하고, 본인 PC에 고객 주민등록번호, 신용카드번호 등 주요정보*를 보관하였음

* 주민등록번호 포함 자료 2,475건(중복제외), 주민등록번호 미포함 자료 479건(고객명, 계좌번호) 총 2,954건을 보관

< 관련규정 >

1. ｢전자금융거래법｣ 제21조 제1항 및 제2항

2. ｢전자금융감독규정｣ 제13조 제1항

3. 한국씨티은행 ｢중요정보보호방법서｣ 제21조

(2) 고객정보 관리·보호 대책 수립 및 운용 소홀

한국씨티은행은 개인신용정보에 대한 보호대책 수립․운용을 아래와 같이 소홀히 함으로써 2012.12.3.~2013.9.12. ○○○○○○○ ☆☆ ☆☆☆이 40,510건의 고객신용정보를 유출*하였으며, 2009.12월~2012.1월에 신규 취급된 29,610건의 고객신용정보도 불법으로 유출되었음

* 이중 3건의 고객신용정보가 금융사기에 이용되어 총 937만원의 실제 피해가 발생

㈎ 고객정보 접근권한 및 전산자료 반출통제 미실시

｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제13조 제1항 제4호, 제5호 및 제10호 등에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 입력‧출력‧열람을 함에 있어 사용자의 업무별로 접근권한을 통제하여야 하고, 이용자 정보의 조회·출력 및 전산자료의 반출을 통제하여야 하는데도,

① ◆◆◆◆는 검사착수일(2014.1.17.) 현재까지 99종의 보고서*가 포함된 영업점정보지원시스템에 대한 접근권한을 영업점장이 지정하는 직원 2명에게 무제한 부여함으로써 담당업무와 관련 없는 대량의 고객정보를 다운로드 받을 수 있도록 하였으며

* ‘영업점별 가계대출현황’, ‘지점별 여신계좌명세’, ‘부동산중개업체 소개내역 보고서’ 등

② 고객정보를 다운로드 받을 때에는 그 사유를 구체적으로 입력하여 관리자의 사전 승인을 받도록 하거나, 고객정보를 마스킹 처리하는 등의 조회·출력에 대한 통제를 실시하지 않았으며,

③ 내부직원이 고객정보를 출력하여 외부로 반출하는 경우 인쇄물의 출력일자, 출력자, 출력내용 등을 별도로 기록·보관*토록 하거나 인쇄물에 워터마크를 삽입토록 하는 등의 출력물 반출에 대한 통제를 실시하지 않았음

* 복합기 자체에 출력내역이 1∼2일 동안 기록·보관되는 장치가 있으나, 사용건수에 따라 선입선출로 로그기록이 삭제됨

< 관련규정 >

1. ｢전자금융거래법｣ 제21조

2. ｢전자금융감독규정｣ 제13조 제1항 제4호, 제5호 및 제10호

㈏ 고객정보 조회․출력 통제 미실시

｢신용정보의이용및보호에관한 법률｣ 제19조 제1항 및 ｢신용정보업감독규정｣ 제20조 [별표3] Ⅱ. 기술적․물리적 보안대책에 의하면, 개인신용정보 출력시에는 용도를 특정하여야 하고, 용도에 따라 출력항목을 최소화하여야 하며, 개인신용정보를 조회(활용)하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리하여야 하고, 고객의 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 하는데도,

① ◆◆◆◆는 검사착수일(2014.1.17.) 현재까지 영업점정보지원시스템의 고객정보에 대한 조회·출력시 용도를 특정하지 않았고, 출력항목도 제한하지 않았으며, 고객정보 조회시 목적 및 용도를 기록․관리*하지 않았음

* 조회자의 신원, 조회일시, 대상정보는 기록·관리

② 또한 영업점정보지원시스템에서 고객정보를 조회하여 PC에 다운로드할 경우에도 이를 암호화하여 저장되도록 하는 프로그램을 설치․운영하지 아니하였음

< 관련규정 >

1. ｢신용정보의이용및보호에관한 법률｣ 제19조 제1항

2. ｢신용정보업감독규정｣ 제20조 및 [별표3] Ⅱ. 기술적․물리적 보안대책

㈐ 고객정보 조회․출력 통제 미실시

｢신용정보의이용및보호에관한 법률｣ 제19조 제1항, 제20조 제3항 등에 의하면, 신용정보 관리·보호인은 신용정보 보안 관리를 위한 대책을 세워야 하며, 임·직원의 신용정보 관리·보호 관련 법령 등의 준수여부를 점검하고, 개인신용정보의 조회기록 등에 대하여 주기적으로 그 적정성 여부를 점검하여야 하는데도,

◎◎◎◎◎는 고객정보의 오·남용 및 유출 등의 법규위반 행위를 방지하기 위하여 필요한 제반 사항에 대한 규정을 마련하지 아니하였고, 직원들의 개인신용정보 조회기록에 대한 주기적인 점검*도 검사착수일 현재까지 실시하지 않았음

* 영업점의 업무 특성상 고객정보 열람이 이루어질 수밖에 없다는 이유만으로 영업점의 고객정보 과다 조회․다운로드의 현황 파악과 사유 등에 대하여 주기적인 점검을 실시하지 않음

< 관련규정 >

1. ｢신용정보의이용및보호에관한 법률｣ 제19조 제1항, 제20조 제3항

2. ｢신용정보의이용및보호에관한 법률 시행령｣ 제16조 제1항, 제17조

3. ｢신용정보업감독규정｣ 제20조 [별표3] Ⅲ. 관리적 보안대책

4. 한국씨티은행 ｢개인신용정보관리·보호방법서｣ 제16조 및 제17조

㈑ 고객정보 보호 관리를 위한 감사업무 소홀

｢은행법｣ 제23조의3, ｢은행법시행령｣ 제17조의2, 한국씨티은행 ｢상근감사위원직무규정｣ 제3조 및 제9조 등에 의하면 검사부는 은행의 내부통제에 대한 내부통제시스템 평가업무 등 감사업무를 성실히 수행하여야 하는데도,

●●●는 2011.4.∼2013.9. 기간중 총 4회에 걸쳐 전산본부에 대한 업무 감사를 실시하고도, 고객정보의 접근권한, 조회·출력 및 반출에 대한 통제 등 고객정보의 오·남용 및 유출을 방지하기 위한 내부통제 체계 및 운영에 대한 점검을 소홀히 함으로써 이에 대한 문제점을 발견하지 못하였음

< 관련규정 >

1. ｢은행법｣ 제23조의3

2. ｢은행법시행령｣ 제17조의2

3. 한국씨티은행 ｢감사위원회규정｣ 제15조

4. 한국씨티은행 ｢상근감사위원직무규정｣ 제3조 및 제9조

나. 경영유의 사항

(1) USB사용 및 외주업체 통제 강화

㈎ USB 사용통제 강화

USB 사용 승인이 1년 단위로 이루어지고 있어, 저장파일 단위로 사용목적 및 용도 등이 파악되고 있지 않으며, 사용되고 있는 USB가 여러 부서에서 관리되고 있어 도난 및 분실위험이 높으므로,

USB 사용시 저장 파일단위로 사전승인을 받도록 하고, USB관리를 집중화하는 등 사용통제를 강화할 필요가 있음

㈏ 고객정보 처리 위탁시 계약관리 강화

개인정보 처리 위탁시 계약서에 최근 개인정보보호법 등의 계약관련 제·개정사항이 모두 포함되도록 계약관리를 철저히 하여야 하는데도,

계약기간이 만료된 건에 대해 계약서를 재작성하지 않고 자동 연장하면서 최근 법 제·개정사항이 명확히 반영되지 않은 사례가 있으므로,

계약기간 만료가 도래한 경우 계약서 재작성을 원칙으로 하도록 관련 내규를 개정하고, 최근 법 제․개정사항이 계약서에 명확히 반영될 수 있도록 계약서 양식을 변경하는 등 계약관리를 강화할 필요가 있음

㈐ 외주업체에 대한 내부통제 및 보안업무 교육 강화

정보유출 및 시스템 손상 등을 방지하기 위하여 외부업체 임직원을 대상으로 내부통제 및 보안업무에 대한 주기적 교육을 실시하여야 하는데도,

고객정보 취급 수탁업체 중 교육을 실시하지 않은 사례가 있으므로, 외주업체에 대한 교육이 누락되지 않도록 관리를 강화할 필요가 있음

㈑ 외주업체 외부주문 등에 대한 통제 강화

외주업체가 사전 동의 없이 재위탁계약을 체결하거나, 계약업체를 변경하는지 정기적으로 점검하여야 하는데도,

외주업체의 재위탁여부 등에 대한 점검절차가 마련되어 있지 않아, 외주업체에 대한 관리감독이 미흡할 우려가 있으므로, 정기적인 점검 등 통제절차를 내규에 반영하고 해당 내규에 따라 점검․통제를 강화할 필요가 있음

(2) 영업촉진프로그램 등 신규 도입 시 영향평가 강화 대책 마련

◇◇◇◇◇는 2012.6.1. 대출고객 DB구축을 위해 다량의 고객정보 조회를 유발하는 PEPS+Program*을 시행하면서 사전에 고객정보 유출 등의 법규위반 발생 가능성에 대한 영향평가를 실시하고 대책을 강구하는 절차를 이행하지 않음으로써,

동 프로그램 실시 이후 다량의 고객정보가 조회**됨에 따라 고객정보 유출 가능성이 있으므로

유사한 사례가 재발되지 않도록 영업실적 증대를 위한 프로그램 등을 신규 도입하는 경우 법규위반 위험 등에 대하여 ◎◎◎◎◎의 사전검토를 받도록 관련 규정에 명시하는 등 대책을 마련할 필요가 있음

* 개인영업전담역을 대상으로 대출고객 DB를 활용하여 추가대출을 유치토록 독려하는 프로그램으로서 유효DB 확보(최소 15,000개 확보, 월별 1,500개 확보)를 위해서는 다량의 고객정보에 대한 접근이 불가피

** 2012. 9.∼2013. 10. 기간중 10만건 이상 조회자 96명을 대상으로 조사한 결과 총 29,666회 걸쳐 40,118,831건의 고객정보를 다운로드 받은 사실 확인(한국씨티은행 검사부 자체조사 자료)

(3) 대출금리 산정체계 및 운용의 합리성 제고

㈎ 가산금리 구성항목별 산정기준 명확화

대출금리모범규준에서 정하고 있는 대출 가산금리 구성항목 및 산정방식이 대출금리산정시스템에 반영되지 않고 있어 대출금리 결정의 합리성과 타당성이 결여될 우려가 있으므로,

대출금리 가산근거를 합리적으로 설명할 수 있도록 가산금리(구성항목·산정방식) 산정기준을 확정하는 등 대출금리산정시스템을 조속히 개선하고 시행할 필요가 있음

㈏ 대출금리 조정을 위한 검토주기 및 조정방법 명확화

대출금리 운용시 리스크프리미엄 및 유동성프리미엄의 주기적 재평가를 통해 시장상황 변화를 가산금리에 적시 반영할 수 있도록 리스크프리미엄 등에 대한 검토주기 및 조정방법을 마련할 필요가 있음

㈐ 대출금리 산정·운용에 대한 내부통제 강화

주요 가산금리 항목의 조정·신설시 내부 타당성을 심사하고 통제할 시스템이 마련되어 있지 않아 대출금리가 불합리하게 산정·운용될 우려가 있으므로,

대출부문별(대기업, 중소, 개인)로 내부 심사위원회*를 설치하여 대출금리 결정의 합리성 및 타당성을 심사할 수 있도록 하고 이와 관련한 내부통제절차와 기준 등을 내규에 반영할 필요가 있음