한국스탠다드차타드은행 금감원 제재공시 · 2014-10-17

[표]

제재내용 공개

[/표]

1. 금융기관명 : ㈜한국스탠다드차타드은행

2. 제재조치일 : 2014. 10. 17.

3. 제재조치 내용

[표]

대상 | 내용

기 관 | 기관경고, 과태료 부과(600만원), 개선 1건, 경영유의 4건 임 원 | 문책경고 1명, 주의적경고(상당) 1명 직 원 | 정직3월(상당) 2명, 감봉3월(상당) 5명, 견책 1명, 주의(상당) 1명, 조치의뢰 1건 [/표]

4. 제재대상사실

가. 문책 및 조치의뢰 사항

(1) 고객정보 보호의무 태만에 의한 고객정보 유출사고 발생

금융기관은 ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조 및 ｢전자금융거래법｣ 제21조 등에 따라 신용정보전산시스템에 대한 제3자의 불법적인 접근, 그 밖의 위험에 대하여 기술적·물리적·관리적 보안대책을 수립·운용하여야 하고, 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 정보기술부문 등에 대하여 보호대책 기준을 준수하여야 함에도

☆☆☆☆☆☆☆본부는 전산장비에 대한 물리적 통제 소홀, 외주직원 단말기에 대한 보안프로그램 미설치, 신용정보처리시스템 사용자 계정(ID) 및 비밀번호 관리 부실, 개인신용정보 암호화 미이행 등 신용정보 보안대책 수립 및 운용을 소홀히 함으로써

2010.5.12.～2013.4.19. 기간중 외주직원(○○○)이 다른 직원의 ID 등을 이용하여 업무목적 외로 신용정보처리시스템에 접근하여 총 942,683건의 개인신용정보 등을 부당 조회하고, 2011.11.2.～2012.2.3. 기간*중 159,545건**의 개인신용정보 등을 이동식 저장매체(USB) 및 인터넷 메신저를 통해 불법으로 유출하였음

* 2011.5.2.～2012.2.29. 기간 중 SC은행 ■■■■부의 Basel II System유지 보수 및 리포팅 작업 프로젝트에 참여

** 개인식별정보 : 성명, 전화번호, 직장정보 등 75,987건

개인신용정보 : 성명, 주민번호, 전화번호, 직장정보, 연봉 등 83,558건

(가) 전산장비에 대한 물리적 통제 소홀

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조 등에 의하면 전산자료 및 전산장비의 반입․반출을 통제하여야 하는데도

검사착수일(2014.1.17.) 현재까지 반입물품 검사 및 반출물품 확인 등의 출입통제 절차를 운용하지 않고 본점 및 전산실에서 외주직원의 노트북, USB 등 휴대용 전산장비 및 전산자료의 무단 반·출입을 허용하였음

(나) 외주직원 단말기에 대한 보안프로그램 미설치 등

｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제60조 등에 의하면 전자금융거래를 위한 외부주문(외주)에 대해 개인정보유출 등에 대비한 보안대책을 수립하고 자체 보안성 검토 및 정기 보안점검을 실시하여야 하는데도

① 검사착수일(2014.1.17.) 현재까지 외주직원이 반입하여 사용하는 개인 노트북에 무선 인터넷 접속 및 비인가 메신저 사용을 통제할 수 있는 보안프로그램을 설치하지 않았으며,

② 이동식 저장매체(USB) 통제프로그램은 설치하였으나 동 프로그램은 단순한 조작만으로도 무력화*가 가능하는 등 보안상 취약점**을 알고 있었음에도 추가비용이 발생한다는 이유로 별도 조치를 취하지 않았음

* 외주직원은 “Kill”이라는 단순 명령어로 USB 통제프로그램을 무력화하여 개인신용정보를 USB에 저장

** 2009.10월 ◆◆◆◆◆ □□□□□□□센터의 점검결과 파일명 변경 등의 단순한 조작으로 USB사용이 가능한 동 프로그램의 취약점을 인지하였음에도 대체프로그램을 설치할 경우 추가비용이 발생되는 등의 이유로 별도의 조치 없이 계속 사용하기로 결정(2009.12월, 대체프로그램은 사고기간 이후인 2012.6월 도입)

③ 또한, 2011.11월∼2013.12월까지 176건의 IT 관련 외부용역 사업을 추진하면서 외주직원의 업무내역, 시스템 접근권한 및 PC에 저장한 전산자료 확인 등을 위한 보안점검을 실시하지 않았음

(다) 신용정보처리시스템 사용자 계정(ID) 및 비밀번호 관리 부실

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업 감독규정｣ 제20조 등에 의하면 신용정보처리시스템에 대한 접근권한은 필요한 최소한의 인원에게만 부여하여야 하고, 사용자 각자의 계정 및 비밀번호는 타인에게 노출하여서는 아니 되어야 하는데도

① 검사착수일(2014.1.17.) 현재까지 공동사용자계정 관리자는 데이터 조회·변경·삭제가 가능한 권한이 부여되어 있는 일괄작업용 공동사용자계정(ID) 및 비밀번호를 외주직원과 임직원이 공유하고 있었음에도 이를 통제하지 않았으며*,

② 프로젝트 관리자는 데이터 분석 및 검증 목적으로 사용하는 개인사용자계정(ID) 및 비밀번호를 외주직원에게 알려주었음**

* 공동사용자계정 관리부실로 2010.5.12.～2012.2.15. 기간중 외주직원이 업무목적 외로 신용정보처리시스템에 접근하여 개인신용정보 총 532,603건을 부당하게 조회한 후 159,545건을 외부로 유출

** 개인사용자계정 관리 부실로 2012.10.30.～2013.4.19. 기간중 외주직원이 업무목적 외로 신용정보처리시스템에 접근하여 개인식별정보 202,817건 및 개인신용정보 207,263건 등 총 410,080건을 부당조회

(라) 개인신용정보 등 암호화 미이행

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, ｢신용정보업 감독규정｣ 제20조 등에 의하면 이용자의 개인신용정보를 PC에 저장할 때에는 이를 암호화해야 하고 패스워드 등 본인인증 정보의 경우 복호되지 않도록 일방향 암호화하여 저장하여야 하는데도

검사착수일(2014.1.17.) 현재까지 개인신용정보의 PC 저장시 암호화 되도록 하는 프로그램을 도입하지 않아, 외주직원이 개인신용정보를 암호화 되지 않은 텍스트파일 형태로 저장할 수 있게 하였고,

또한, 인터넷뱅킹, 외화예금, 보통ㆍ저축예금, 정기예금, 환매채, 당좌ㆍ가계당좌, 신탁계좌의 비밀번호가 복호가 가능한 양방향 방식으로 암호화되어 저장되게 하였음

(마) 고객정보 보호실태 점검의무 소홀

｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제17조 등에 의하면 신용정보관리․보호인은 임직원의 신용정보 관리․보호 관련 법령 및 내부관리규정 등의 준수여부를 점검하여야 하는데도

신용정보관리․보호인은 검사착수일(2014.1.17.) 현재까지 신용정보법 제19조 및 신용정보업감독규정 별표3에서 규정한 신용정보에 대한 제3자의 불법적인 접근통제, 개인신용정보의 PC 저장시 암호화 등 신용정보전산시스템의 안전보호를 위한 기술적․물리적․관리적 보안대책의 준수여부에 대해 점검을 실시하지 않았음

(바) IT부문에 대한 자체점검 및 검사업무 소홀

｢은행법｣ 제23조의3, ｢은행법시행령｣ 제17조의2, SC은행 ｢조직및업무준칙｣ 2-2-10 등에 의하면 ★★부는 은행의 내부통제에 대한 내부감사 업무, 사고예방 대책에 관한 사항 등 기타 검사업무를 성실히 수행하여야 함에도

① ★★부는 2011.4월 △△ 전산사고로 인한 2011.6.9. 금융감독원의 IT 보안 및 업무운영 실태에 대한 점검 요청에 따른 자체점검(2011.6.9.～6.20.)에서 금번 정보유출 사고의 원인이 된 주요 점검사항*에 대해 문제점이 없다고 점검하는 등 업무를 소홀히 하였으며

* 금번 고객정보유출 사고의 직접적인 원인이 된 전산장비 무단 반출입 통제, 외주직원에 대한 계정(ID) 관리, USB 등 저장매체 사용통제 실태에 대하여 점검 요청

② 고객정보유출 행위가 진행중이던 2011.11.14.～2011.11.25. 기간중 IT부서(●●●●●●●부 및 ◎◎◎◎◎◎◎◎부 등)에 대한 종합검사를 실시하면서 고객정보 유출을 방지하기 위한 외주업무에 대한 내부통제, 전산시스템에 대한 접근권한 부여 및 접근통제가 적정하다고 점검하는 등 업무를 소홀히 하였음

※ 또한, IT부서의 자체 특명검사를 점검하면서 IT부서에서 매월 고객정보 및 신용정보 조회거래의 정당성 확인 및 고객정보 DB 사용자의 적합성 점검에 대해 적정하다고 형식적으로 특명감사를 실시하고 있었음에도 이를 확인하지 못하였음

< 관련규정 >

1. ｢신용정보의 이용 및 보호에 관한 법률」제19조 및 제20조

2. ｢전자금융거래법｣ 제21조

3. ｢은행법｣ 제23조의3

4. ｢신용정보의 이용 및 보호에 관한 법률 시행령」제16조 및 제17조

5. ｢은행법시행령｣ 제17조의2

6. ｢신용정보업 감독규정｣ 제20조 및 [별표3]

7. ｢전자금융감독규정｣ 제13조 및 제60조

8. SC은행 舊 ｢정보보호준칙｣ 제9조 및 제10조

9. SC은행 ｢전산센터 안전관리지침｣ 제6조

10. SC은행 ｢내부통제규정｣ 3.

11. SC은행 ｢내부통제준칙｣ 5.

12. SC은행 舊 ｢상근감사위원 직무규정｣ 제2조

13. SC은행 ｢감사본부장 직무규정｣ 제2조

14. SC은행 ｢조직및업무준칙｣ 제2조

15. SC은행 ｢복무준칙｣ 제3조

나. 주의사항

(1) 전산자료 보호대책 및 IT보안 내부통제 불철저

(가) 일괄작업(Batch) 및 전산 개발업무 수행에 대한 통제·관리 소홀

① ｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제30조 등에 의하면 금융회사는 일괄작업시 책임자에게 사전승인 및 작업결과를 확인 받아야 하고 모든 일괄작업 내역은 기록·관리하도록 통제 및 관리하여야 하는데도

●●●●●●●부는 2010.1.1.～검사착수일(204.1.17.) 현재까지 일부 서버(60대)에서 책임자 승인 없이 일괄작업이 수행되게 하였고, 또한 작업중 발생한 오류가 책임자 승인 없이 임의로 처리되게 하였으며, 그 기록도 보존하지 않아 책임자 미승인 일괄작업 건수를 파악할 수 없을 뿐만 아니라 작업내역에 대한 적정성 점검도 실시하지 않는 등 일괄작업에 대한 통제·관리를 소홀히 하였음

② ｢전자금융감독규정｣ 제13조 등에 의하면 이용자 정보의 조회·출력에 대한 통제 및 테스트시 이용자정보(고객정보)를 변환하지 않고 실제 이용자정보를 사용하는 것을 금지하여야 하는데도

●●●●●●●부는 2010.1.1.～검사착수일(2014.1.17.) 현재까지 테스트/개발 DB 37대 중 6대의 고객 정보가 변환되지 않은채 실제 고객정보를 토대로 개발 업무가 수행되게 하였음

(나) 정보처리시스템의 가동기록 보존의무 이행 불철저

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조 등에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 정보처리시스템의 가동기록을 1년 이상 보존하여야 하는데도

●●●●●●●부는 2012.1월~2013.12월중 주전산시스템(메인프레임)을 제외한 618대 서버에서 주기적으로 가동기록이 저장되고는 있으나, 저장소 크기 제한으로 인해 가동기록이 다량으로 발생할 경우 저장용량 부족으로 인해 일부 가동기록이 보존되지 않는 사례가 발생하였음에도 이에 대해 적절한 조치를 취하지 않았음

(다) 프로그램 테스트 통제 및 직무분리 소홀

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제13조, 제26조, 제29조 등에 의하면 금융회사는 운영서버에서 개발 및 테스트를 수행할 수 없도록 통제해야 하고, 개발자(프로그래머)와 서버 운영자(오퍼레이터)의 직무를 분리하여 개발자가 운영서버에 저장된 전산자료 및 프로그램에 접근하여 조작할 수 없도록 통제하여야 하는데도

●●●●●●●부는 2010.1.1.～검사착수일(2014.1.17.) 현재까지 서버운영 및 개발 업무를 명확하게 분리하지 않아 개발자에게 운영서버에 대한 접근권한을 부여하였으며, 개발서버와 운영서버가 독립적으로 분리·구축되어 있음에도 상기 개발자가 운영서버에서 실제 고객정보를 이용하여 프로그램 테스트를 수행하게 하는 등 프로그램 테스트 및 직무분리 관련 통제를 소홀히 하였음

(라) 내부사용자 비밀번호 관리 소홀

｢전자금융감독규정｣ 제13조 및 제32조 등에 의하면 신용정보처리시스템의 전출․퇴직자의 사용자계정은 삭제하고 생년월일, 주민등록번호 등의 비밀번호 사용을 제한하는 등 사용자계정과 비밀번호는 개인별로 부여한 후 권한 있는 자가 체계적으로 관리하여야 하는데도

●●●●●●●부는 프로젝트가 끝난 외주직원을 포함한 전출․퇴직자의 정보처리시스템 사용자계정(ID)을 삭제하지 않거나 삭제를 지연하였으며, 전체 814개 정보처리시스템 중 660개의 경우 사용자 비밀번호로 사용해서는 안되는 생년월일, 주민등록번호 등의 사용을 제한하지 않았고 154대의 경우 주기적인 비밀번호 변경 등을 하지 않았는데도 이를 방치하였음

(마) 홈페이지 등 공개용 웹서버 관리 소홀

｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제17조 등에 의하면 홈페이지 등 공개용 웹서버에 이용자정보 등 주요정보는 반드시 암호화하여 저장․관리하여야하는데도

●●●●●●●부는 홈페이지 서버 등 공개용 웹서버(4대)에 주민등록번호를 포함한 이용자 정보가 암호화 되지 않은채 저장․관리되게 하였음

(바) 정보보호최고책임자 지정 불철저

｢전자금융거래법｣ 제21조의2 등에 의하면 정보보호최고책임자(CISO)는 임원으로 지정하여야 하는데도

☆☆☆☆☆☆☆본부장(CIO)은 2014.1.2. 임원이 아닌 정보보안부 부서장(◇◇◇ 상무보)을 정보보호최고책임자로 지정하였음

< 관련규정 >

1. ｢전자금융거래법｣ 제21조 및 제21조의2

2. ｢전자금융거래법시행령｣ 제11조의3

3. ｢전자금융감독규정｣ 제13조, 제17조, 제26조, 제29조, 제30조 및 제32조

다. 개선사항

(1) 신용정보 보호관련 내규 보완

｢신용정보업감독규정｣ 제22조에 의하면 자체 내부규정 등에 ‘신용정보의 정확하고 신속한 등록 및 보유한 정보의 정확성을 상시 점검할 수 있는 시스템’ 관련 내용을 구체적이고 상세하게 반영하여야 함에도

SC은행 ｢개인신용정보 관리·보호 준칙｣ 등 관련 내규에 동 내용이 반영되어 있지 않으므로 이를 반영할 필요가 있으며,

｢신용정보업감독규정｣ 제20조 및 [별표 3]에 따라 ｢개인신용정보 관리.보호준칙｣ 등에서 개인신용정보 오ㆍ남용에 대한 자체 제재기준을 마련하고 있으나

징계의 종류와 기준 등 구체적인 징계양정기준이 마련되어 있지 않으므로 관련 내규를 보완하시기 바람

라. 경영유의 사항

(1) 정보처리시스템 취약점 분석평가에 대한 사후관리 강화

SC은행은 매년 전자금융기반시설을 대상으로 취약점 분석 및 평가를 실시하여 발견된 취약점 등에 대하여 이행계획을 수립하여 개선조치 등을 실시하고 있으나,

장기 조치사항의 경우 매년 취약점 분석시 동일한 취약점이 반복해서 발생되고 있으므로 취약점 분석평가 절차 등을 개선하여 동일한 취약점이 반복하여 발생하지 않도록 사후관리를 강화할 필요

(2) 고객정보 파기절차 강화

SC은행은 ｢개인정보보호준칙｣ 등에 고객정보 파기와 관련하여 파기방법 및 절차를 규정하고 있으나

직원 업무용 PC 등에 보관된 전자적 고객정보의 보관 및 파기를 통제할 시스템이 마련되어 있지 않고, 일부 부서에서 고객정보를 제3자에게 위탁하면서 수탁자에게 고객정보 파기 증빙을 징구하지 않는 사례가 발생하고 있으므로 고객정보 파기 절차 및 통제를 강화할 필요

(3) 단말기 고객정보 파일 보관기간 설정

단말기에 불가피하게 고객정보를 보관하는 경우 보관사유 및 관리 비밀번호 등을 정하여 책임자의 승인을 받도록 하고 있으나

책임자 승인시 보관기간을 별도로 정하지 않아 불필요한 전산자료가 장기간 보관될 수 있으므로 보관기간을 설정하여 책임자 승인을 받을 필요

(4) 대출금리 조정을 위한 검토주기 및 조정방법 마련

대출금리 조정시 리스크프리미엄과 유동성프리미엄은 시장상황의 변화를 적시에 반영하도록 하고 있으나

구체적인 조정시기 및 조정방법이 마련되어 있지 않아 대출금리가 자의적으로 운영될 소지가 있으므로, 대출금리 운용시 리스크프리미엄 및 유동성프리미엄을 주기적으로 재평가하여 시장상황 변화를 적시에 반영할 수 있도록 검토주기 및 구체적인 조정방법을 마련할 필요 (별첨)

과태료 부과금액 산출내역

I. 신용정보전산시스템에 대한 보안대책 마련의무 미이행

1. 부과근거

□ ｢신용정보의이용및보호에관한법률｣ 제52조 제3항 제5호, ｢동법 시행령｣ 제38조 및 별표4(6. 법 제19조제1항을 위반한 경우)

◦ ｢신용정보의이용및보호에관한법률｣ 제19조를 위반하여 신용정보회사 등이 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경․훼손 및 파괴, 그 밖의 위험에 대하여 기술적, 물리적, 관리적 보안대책을 세우지 않은 경우에는 600만원 이하의 과태료 부과

2. 부과기준

□ 법정최고금액의 범위내에서 위반행위의 동기 및 결과를 고려하여 과태료 부과금액을 산정

[표]

동기 위반결과 | 고의 | 과실

중대 | 법정최고금액의 100% | 법정최고금액의 75% 보통 | 법정최고금액의 75% | 법정최고금액의 50% 경미 | 법정최고금액의 50% | 법정최고금액의 25% [/표]

◦ 중대 : 사회경제적 물의 야기, 금융기관 손실초래, 건전금융질서 저해

◦ 보통 : 중대, 경미에 해당하지 않는 경우

◦ 경미 : 단순법규 위반 등

3. 부과금액 결정

[표]

부과대상 | 위반행위의 동기 및 결과 | 부과금액 ㈜한국스탠다드차타드은행 | -신용정보처리시스템에 대한 접근권한은 필요한 최소한의 인원에게만 부여하고, 사용자계정 및 비밀번호는 타인에게 노출하여서는 아니 되어야 하는데도, 신용정보처리시스템 접근권한이 없는 외주직원이 은행 임직원의 신용정보처리시스템 사용자계정(ID) 및 비밀번호를 공유·사용하게 하였으므로 위반행위의 동기는 고의를 적용 - 고객정보 유출로 사회적 물의를 야기하고 건전 금융질서를 저해한 점 등을 고려하여 위반 결과는 중대를 적용 <법정최고금액(600만원)의 100%인 600만원 부과> | 600만원 [/표]