광주은행 금감원 제재공시 · 2014-12-10

검사결과 공개안

1. 금융회사명 : 광주은행

2. 조치일 : 2014. 12. 10.

3. 조치내용

[표]

조치대상 | 조치내용

기 관 | 경영유의 2건, 개선 3건,

임 직 원 | 해당사항 없음

[/표]

4. 조치 대상 사실

가. 경영유의사항(2건)

(1) 전산자료 보호대책 강화

「전자금융감독규정」제13조 등에 의하면 은행은 전산자료 및 전산장비의 반출‧반입을 통제하여야하며 내부에 기록된 고객정보 등이 외부에 유출되지 않도록 조치를 취하도록 하고 있어

현재 컴퓨터 등 전산장비를 회수 및 교체하는 경우 IT지원부 직원이 입회하여 영구삭제 프로그램으로 데이터 완전삭제 작업을 수행하고 있지만 전산장비 회수 전 중요정보를 삭제하고, 전산장비 이동 및 보관기간 동안 데이터 관리 등의 세부절차 마련이 미흡하므로 현행 내규를 보완하여 운용할 필요가 있음

(2) 개인정보 수탁자에 대한 교육 및 점검 등 관리 강화

「개인정보보호법」제26조 제4항 등에 의하면 개인정보처리자인 은행은 제3자에게 개인정보 처리업무를 위탁하는 경우 업무 위탁으로 인하여 정보주체의 개인정보가 분실‧도난‧유출‧변조 또는 훼손되지 않도록 수탁자를 교육하고, 처리 현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지를 감독하도록 하고 있어

현재 개인정보처리 수탁자(57개 업체)에 대하여 개인정보 교육자료를 배포하여 자체교육 등을 실시토록하고 있지만, 보다 강화된 교육 필요성이 있고 실효성 있는 처리현황 점검이 이루어지고 있지 않고 있는 등 일부 미흡한 점이 있는바

은행주관의 외주업체에 대한 집합교육 실시, 교육자료 배포 및 교육확인서 징구 등 보다 강화된 교육을 실시하고, 소관부서, 준법지원부 및 IT전문인력 등으로 구성된 점검반을 운영하여 재위탁제한 등 위탁업무시 유의사항 준수여부에 대하여 수시․정기 점검하는 등 관리를 강화할 것이 요망됨

나. 개선사항(3건)

(1) 개인정보 보존시 관리절차 개선

「개인정보보호법」제21조 등에 의하면 개인정보처리자인 은행은 보유기간의 경과, 개인정보의 처리 목적 달성 등 수집한 개인정보가 불필요하게 되었을 경우 지체 없이 그 개인정보를 파기하여야 하며, 다른 법령에 따라 보존해야 하는 경우 해당 개인정보를 다른 개인정보와 분리하여서 저장ㆍ관리하여야 하는데도

현재 전산형태로 보관하고 있는 개인정보의 경우 개인정보별 구분저장 시기, 방법, 기간 및 동 개인정보에 대한 접근권한 등에 대한 업무절차가 명확하지 아니하므로

법령에 의한 개인정보 보존시 개인정보별 구분저장․관리와 관련하여 저장 시기, 방법, 저장기간 및 접근권한 등에 대한 절차를 마련하시기 바람

(2) 보조기억매체 관리절차 개선

「신용정보업감독규정」제20조 및 <별표3>, 「전자금융감독규정」제13조 등에 의하면 은행은 개인신용정보를 저장 매체에 저장하거나 이메일 등으로 외부 전송하는 경우 개인신용정보취급자의 사전승인을 받아야 하며, 정기적으로 보조기억 매체의 보유현황 및 관리 실태를 점검하고 책임자의 확인을 받아야 하는데 현재 단말기의 보조기억매체(USB)포트를 차단하고, 부점장 전결로 USB포트 차단해지 및 해제이력 등을 관리하고 데이터 외부반출 적정성 점검 등을 실시하고 있으나 보안USB가 아닌 일반USB를 사용하고 있고, 사용 중인 일반USB의 사용현황 등도 관리가 미흡하므로

보안USB를 도입하고 사용중인 일반USB의 보유개수 확인․통제하여 사용현황을 점검하는 방안을 마련하는 등 보조기억매체 관리절차를 개선하시기 바람

(3) 단말기 내 이용자정보 관리절차 개선

「전자금융감독규정」제13조 등에 의하면 단말기에 이용자 정보 등 주요정보를 보관하지 아니하고 단말기를 공유하지 않으며 불가피하게 단말기에 보관하는 경우에는 보관사유, 보관기간 및 관리 비밀번호 등을 정하여 책임자의 승인을 받도록 하고 있어 현재 개인정보유출방지 시스템(DLP)을 구축하여 개별 단말기의 개인정보 보관 검출 및 기록유지 등을 관리하고 있으나

개인정보 보관의 승인․점검 절차 등이 마련되어 있지 않아 개인정보가 단말기에 부적절하게 보관될 개연성이 있으므로 개인정보 보관의 승인․점검 절차 등을 마련하여 승인받지 않은 개인정보가 있는지 여부를 주기적으로 점검하시기 바람