삼성카드주식회사 금감원 제재공시 · 2015-01-05

제재내용 공개안

1. 금융기관명 : 삼성카드㈜

2. 제재조치일 : 2015. 1. 5.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기관 | 개선사항 2건

임원 | -

직원 | 견책 1명, 주의 1명, 퇴직자위법사실통지 1명, 조치의뢰 1건 [/표]

4. 제재대상사실

가. 문책 및 조치의뢰사항

⑴ 전산자료 보호대책 운영 불철저

舊 ｢전자금융거래법(2012.3.21. 개정 전의 것)｣ 제21조, 舊 ｢전자금융감독규정시행세칙(2012.5.24. 개정 전의 것)｣ 제9조 등에 따르면 금융기관은 전자금융거래의 안전성과 신뢰성 확보와 전산자료 유출, 파괴 등의 방지를 위하여 테스트 시 이용자 정보를 변환하여 사용하여야 하고, 정보처리시스템의 가동기록을 1년 이상 보존하여야 하며, 사용자계정의 공동사용이 불가피한 경우에는 개인별 사용내역을 기록·관리하여야 하는데도

삼성카드㈜는 2011.1.17~11.14. 기간 중 부정사용방지시스템(Fraud Detection System, FDS) 개선 프로젝트를 수행면서 동 시스템 시운전 테스트 당시 주민등록번호, 카드번호 등 이용자 정보를 변환하지 않은 채 사용하였고, 이용자정보를 포함하고 있는 FDS 개발계시스템의 가동내역 및 동시스템에 저장된 DB에의 접속내역을 기록·관리하지 않았으며, 동시스템 운영과정에서 사용자계정 3개를 여러 직원이 공동으로 사용하면서 개인별 사용내역을 기록·관리하지 아니하였음

<관련규정>

1. 舊「전자금융거래법」제21조

2. 舊「전자금융감독규정시행세칙」제9조

나. 주의사항

⑴ 정보보호시스템 보안정책 이력의 기록·보관 소홀

「전자금융감독규정」제15조 등에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 정보보호시스템을 설치․운영하는 경우 보안정책의 승인․적용, 등록, 변경 및 삭제 이력을 1년 이상 기록․보관하여야 하는데도

2013.2.4.~2014.2.3. 기간 중 네트워크장비(NAC, Network Access Control, 망접근제어 정보보호시스템)의 경우 보안정책 변경 등의 이력을 기록․보관하지 않았음

<관련규정>

1. 「전자금융거래법」제21조

2. 「전자금융감독규정」제15조

⑵ 외부주문 관련 신원보증서 징구 소홀

舊「전자금융감독규정(2013.6.25. 개정 전의 것)」제60조 등에 의하면, 금융기관은 전자금융거래를 위한 외부주문 등의 경우에는 업무수행인력에 대하여 사전 신원조회를 실시하거나 대표자의 신원보증서를 징구하여야 하는데도

2011.10월~2013.4월 기간 중 수행한 26회의 IT개발 프로젝트 외부주문 과정에서 신원조회 또는 대표자 신원보증서 징구를 하지 않았음

<관련규정>

1. 舊「전자금융거래법」제21조

2. 舊「전자금융감독규정」제60조

다. 개선사항

(1) 신용정보 관리·보호인 지정 개선

신용정보 보호·관리에 대한 보안업무를 담당하지 않는 등 신용정보 보호·관리 업무를 총괄하기에 적합하지 아니한 준법감시팀장이 신용정보 관리·보호인을 겸직하고 있어 업무 사각지대가 발생하고 부서간 업무협조가 어려울 우려가 있으므로

회사 전체 관점에서 신용정보 제공·활용·보호 및 관리 등의 업무를 종합적으로 수행할 수 있도록 별도 임원을 신용정보관리·보호인으로 지정하는 등 개선하시기 바람

(2) 단말기 보호대책 개선

정보보호지침 내규에 따라 전산개발 관련 외주인력의 PC반출시 HDD의 포맷여부를 부서장이 확인하고, 반입시에는 보안조치*를 취하고 있으나, 부서장 승인하에 반입자, 물품명세, 목적 등을 기록하고 H/W, S/W 사양, 하드디스크 저장정보를 확인하고 보안프로그램 작동여부를 지속적으로 모니터링하는 것이 중요함에도

* 물리적 보안조치(무단반출을 차단하기 위한 시건장치 등), 논리적 보안조치(내부네트워크 사용을 위한 별도의 IP‧ID부여, 보안프로그램 설치 등)

검사착수일까지 개발자 PC에 대해 반입확인서를 미작성 하였으며, 보안프로그램 미사용을 모니터링할 수 있는 체계가 미흡하므로 장비의 실질적인 반입·반출을 확인하고, 보안프로그램 삭제 등 보안조치 우회에 대한 모니터링을 강화하는 등 단말기 보호 대책관련 업무를 개선하시기 바람