보험대리점 금감원 제재공시 · 2014-11-03

[표]

제재내용 공개안

[/표]

1. 금융기관명 : ㈜퍼스트에셋코리아 보험대리점

2. 제재조치일 : 2014.11.3.

3. 제재조치내용

[표]

제재대상 | 제재내용

기 관 | 경영유의 5건, 개선 2건

[/표]

4. 제재조치내용

가. 경영유의사항

(1) 고객정보 이용 통제 적정성 제고

일부 시스템의 경우 조회기록 확인이 불가한 경우가 있고, 외부업체 시스템을 이용하는 경우 접속기록을 외주업체를 통해 확인해야 하므로,

대리점에서 시스템을 통해 고객정보 조회자의 신원, 조회 일시·대상정보·목적·용도 등 조회기록을 즉시 확인하고 관리 할 수 있도록 개선하고, 과다조회자에 대한 통제기준을 마련하여 조회건수가 급증한 직원 등에 대한 점검을 실시하는 등 고객정보 이용 통제 방법을 강구할 필요가 있음

(2) 외주업체 관리 적정성 제고

외주업체에 위탁한 시스템은 대리점의 시스템 보안대책이 적용되지 않고, 위탁계약서에 감독기관에 협조의무 등 필요한 기재사항이 없으며, 영세한 업체에 위탁을 하고 있으므로,

고객정보 보호에 적합한 시스템 개발 및 유지보수 정책에 대한 내부 가이드라인을 수립하고, 시스템을 외부업체에 위탁하는 경우 자본금 1억원 이상인 기업에 위탁하며, 위탁계약서에 감독기관의 자료 요구 및 감독·검사에 대한 협조의무 조항이 포함된 계약을 체결하고, 주기적으로 외부업체에 대한 내부통제 및 고객정보 보호 교육을 실시하는 등 외주업체 관리 방안을 강구 할 필요가 있음

(3) IT인력 관리의 적정성 제고

전산부서에 자료 업로드 인력 1명만 배치되어 있고, 전산보안업무를 수행할 인력이 없으며, 외부업체에 시스템 운영을 위탁하고 있어 대리점의 고객정보 보호업무 수행에 어려움이 있으므로,

고객정보 보호 및 대리점의 시스템 정보 보안을 강화를 위해 내부 IT보안인력 충원 등 전산부서 조직을 강화 할 필요가 있음

(4) 대리점관리 및 비교견적 시스템 보안관리 적정성 제고

시스템 접근권한 관리가 미흡하고 접속기록 위·변조가 가능하며, 고객정보에 대한 암호화 방법 및 정도가 취약하고, 비밀번호 계정관리, 작성 규칙 및 점검절차가 없으며, 암호화되지 않은 파일을 네트워크를 통해 다운받아 이동저장매체로 저장이 가능하며, 시스템 개발 및 테스트시 실제 고객정보를 변환하여 테스트 종료 후 즉시 삭제하였는지 여부를 테스트서버 등이 없어 확인할 수 없으므로,

고객정보에 대한 시스템 접근권한을 체계적으로 관리하고, 접속기록을 실시간으로 안전하게 보관·관리할 수 있는 장비 및 정보보호시스템을 도입 운영하며, 암호화 방법을 강화하고, 비밀번호 작성 및 계정관리 규칙을 마련하며 시스템에 반영하며, 이동저장매체의 안전한 사용 및 시스템 개발시 고객정보 변환사용 점검절차에 대한 사항을 전산업무지침 등 내부규정에 반영하고, 이를 확인할 수 있도록 장비를 구축하는 등 고객정보 보호를 위한 방안을 강구 할 필요가 있음

(5) PC 보안 관리 적정성 제고

PC의 대부분을 계약 보험회사로부터 제공받아 사용하면서, 업무용으로 사용하는 PC와 계약 보험회사별 보안정책이 적용되는 단순 입력 · 조회용 PC로 구분하여 관리하고 있지 못하므로,

대리점에서 사용하는 PC를 대리점 자체 구입분과 보험회사 제공 계약 입력·조회용 등으로 구별하여 자산관리대장에 기록·관리 하고, 업무용 PC는 대리점에서 PC관리 방안을 마련하고, 계약 입력·조회용 PC는 소관 보험회사에 고객정보 보호를 위한 보안조치를 요청하는 등 PC보안 방안을 강구할 필요가 있음

나. 개선사항

(1) 시스템 고객정보 관리 미흡

보유고객 정보의 이용 목적이 달성되었는지 여부에 대한 점검이 부실하고, 점검 절차 및 주기 등 구체적인 내부통제 기준이 미비하므로,

고객정보 수집·이용 및 제공동의가 만료된 고객정보 파기사항에 대한 점검 절차 및 주기 등을 내부규정에 반영하고, 점검결과를 대장에 기록관리 하는 등 고객정보 관리에 철저를 기할 필요가 있음

(2) 준법감시인의 역할 제고

고객정보 관련 법규 등의 준수여부 점검을 지점에 맡겨 점검 및 교육을 하고 있으나 실질적인 점검 및 교육이 되고 있지 못하므로,

준법감시인(개인정보책임자)가 임직원 및 소속설계사의 고객정보 관련 법규 준수 여부를 현장점검하고 고객정보 침해사고 예방을 위한 교육을 실시한 후 그 결과를 기록관리 하는 등 준법감시인의 역할을 제고할 필요가 있음