현대카드주식회사 금감원 제재공시 · 2015-11-20

(붙 임)

제재내용 공개

1. 금융기관명 : 현대카드㈜

2. 제재조치일 : 2015. 11. 20.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 경영유의 2건, 자율처리필요사항 2건 임 원 | -

직 원 | -

[/표]

4. 경영유의사항

가. OTP분실방지교육 실시 등 지속적 관리 강화

회사내 IT업무 인증수단으로 일회용비밀번호(OTP : One Time Password)를 추가로 사용․관리하고 있으나 2011.1.1.～2014.2.2 기간중 총 542개(직원은 248개, 외주직원은 294개)를 분실하였고 최근 OTP 분실률이 직원의 경우 2011년 0.6%에서 2013년 4.4%, 외주인원의 경우도 2011년 0.5%에서 2013년 4.0%로 각각 증가하여 OTP 오․남용이 우려되고 있는 바

앞으로 OTP 오남용 방지를 위해 전 직원앞 OTP분실방지 주의촉구 지도*, IT보안교육시 OTP분실방지내용 포함 등 지속적 관리강화방안을 마련하여 시행할 것이 요망됨

* 2014.2.20 전직원앞 OTP분실방지 주의촉구 지도 시행

나. 개인정보 저장시 안전성 확보준수 철저

이번 검사기간(2014.2.3. ~ 2014.2.14.) 중 외주용역(◎◎◎ 소속) 직원 ♣♣♣이 전산프로그램 개발과정에서 사용한 작업용 PC 1대에서 암호화하지 않고 저장한 개인정보(성명, 주민등록번호, 주소, 우편번호) 932건이 발견되었는바,

* PC Repair실(데이터 포맷 장소)에 반납되어 포맷 대기중인 PC에서 발견되었고 검사기간 중 포맷 완료

「개인정보의 안전성 확보조치 기준(2011.9.30시행, 행안부고시 제2011-제43호)」제7조 및 2015.9.11. 개정된 「신용정보업감독규정」 별표3의 취지 등을 감안하여, 향후 업무용 컴퓨터에 개인정보를 저장하는 경우에는 암호화 조치가 누락되지 않도록 안전성 확보조치를 철저히 준수할 필요가 있음

5. 제재대상사실

가. 자율처리 필요사항

⑴ 외주용역업체 건전성 평가 미실시

「전자금융거래법」제40조 제1항 및「전자금융감독규정」제60조 등에 의하면 금융회사는 전자금융거래를 위한 외부주문 등의 경우에는 전자금융보조업자에 대한 재무건전성을 연 1회 이상 평가하여 재무상태 악화에 따른 도산에 대비하고 전자금융보조업자의 주요 경영활동에 대해 상시 모니터링을 실시하여야 하는데도,

경영환경이 취약*한 ▦▦▦▦▦▦와 정보시스템 운영도급계약을 유지하면서 2013년 중에 건전성 평가를 실시하지 않았고, 주요 경영활동에 대한 상시모니터링을 실시하지 않았음

* 2013.9.30. 서울중앙지방법원에 법정관리 신청(2013.10.17. 개시결정)

< 관련규정 >

1. 「전자금융거래법」제40조 제1항

2. 「전자금융감독규정」제60조

⑵ 외부주문 관련 신원보증서 등 징구 소홀

｢전자금융거래법｣ 제40조 제1항 및 ｢전자금융감독규정｣ 제60조 등에 의하면 금융회사는 전자금융거래를 위한 외부주문 등의 경우에는 업무수행인력에 대하여 사전 신원조회 실시 또는 대표자의 신원보증서를 징구하여야 하며, 부서장은 외주인력이 회사의 정보보안규정 및 지침 또는 전산개발을 위한 정보보안가이드라인을 준수하도록 하고 이를 담보하기 위하여 수탁자 대표이사 명의의 손해담보각서를 접수하여야 하는데도

2011.10.10.~2014.2.3. 기간 중 수행한 FDS시스템 유지보수 및 차세대 전산시스템 개발을 위한 ◈◈◈◈◈ 등 2개 업체와의 외부주문 과정에서 업무수행인력 82명에 대한 신원보증서 또는 대표이사 명의의 손해담보각서 등을 징구하지 않았음

< 관련규정 >

1. 「전자금융거래법」제40조 제1항

2. 「전자금융감독규정」제60조