신용협동조합중앙회 금감원 제재공시 · 2014-11-05

제재내용 공개(안)

1. 금융기관명 : 신용협동조합중앙회

2. 제재조치일 : 2014. 11. 5.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기관 | 경영유의 5건, 개선 5건

임원 |

직원 | 조치의뢰 1건

[/표]

가. 경영유의사항

(1) 업무위탁(제휴) 기관에 제공한 고객정보 관리감독 강화

신협중앙회는 이번 검사착수일(2014.2.5) 현재 ○○○○ 등 180개 기관과 업무위탁(제휴)계약을 체결한 후 이들 업체에게 제공한 고객정보의 관리실태를 충실히 점검하지 않고 있으며, 그 중 □□□□□□□ 등 162개 기관과 체결된 보안관리약정에 고객정보의 업무목적외 사용 및 제3자 제공금지, 정보유출 방지 내용 등이 미포함되어 있는바

앞으로 수탁(제휴)업자에 의한 고객정보 부당유출을 방지할 수 있도록 조속한 시일내에 보안관리약정을 보완하고 수탁자의 고객정보 관리실태를 철저히 점검하는 등 관리감독을 강화할 필요가 있음

(2) 조합의 고객정보 등 자료유출방지 감독 강화

이번 검사착수일 현재 조합의 고객정보 등 자료의 반출승인업무를 담당하는 자가 조합임직원의 1/3 이상에 달하고, ○○○○ 등 42개 조합의 경우 조합임직원의 약 절반(48.4%)을 반출승인업무 담당자로 지정하고 있는 등 과다하게 운용하고 있으며, 2012.1.1.이후 검사착수일 현재까지 반출승인건의 절반이상(54.3%)이 담당자 본인의 승인으로 자료가 반출되었고, 특히 동 기간중 조합원총회 공고 등의 용도로 조합원명부를 반출하는 과정에서도 반출승인건의 절반(49.6%)이 반출승인업무 담당자 본인의 승인만으로 반출되어 조합이사장 선거운동, 마케팅 활용 등을 위해 악용될 소지가 있으므로

조합의 반출승인업무 담당자를 최소한으로 지정․운용하고, 반출승인업무 담당자 본인의 자료반출에 대한 통제방안을 강구함과 아울러 조합원명부 등 업무목적 외로 악용될 소지가 있는 자료의 반출시에는 최종 책임자의 승인을 거쳐 반출될 수 있도록 신협중앙회는 조합에 대한 지도감독을 강화할 필요가 있음

(3) 조합의 예금잔액통보업무 위탁에 따른 고객정보 관리 강화

일부 조합이 ○○우체국과 협약하여 2013.8월 부터 조합의 예금 관련 정보(계좌번호, 잔액 등) 및 배송정보(수취인명, 주소, 연락처 등)를 신협중앙회를 통해 제공하고 우체국으로 하여금 예금잔액통보업무를 대행토록 하고 있음. 그러나 동 협약내용에 의하면 개별 조합이 수탁자인 우체국의 고객정보 관리 실태를 점검토록 되어 있을 뿐만 아니라, 우체국이 제공받은 조합 고객정보를 협약이 해지되거나 협약기간이 만료될 때 까지 장기간 불필요하게 보유할 수 있도록 되어 있는바

신협중앙회가 조합을 위해 우체국의 수탁업무에 대한 감독업무를 수행하는 한편 우체국이 제공받은 고객정보도 보관기간 경과 또는 목적달성시 즉시 폐기 또는 반납될 수 있게 협약내용이 보완되도록 조합을 지도할 필요가 있음

(4) 자료유출방지를 위한 보조저장매체(USB) 통제 강화

2014.2.19 현재 신협중앙회 및 조합 임직원은 자료저장을 위해 1인당 평균 2개 이상(2.2개)의 개인용 보조저장매체(USB)를 자료유출방지시스템에 등록하여 사용하고 있으나, 등록된 USB에 대한 관리에 어려움이 있고 고객정보의 부당유출이 우려되므로

신협중앙회가 공급하는 USB만을 사용하고 임직원 소유의 USB 사용을 금지토록 하는 등 USB 관련 보안관리를 강화함과 아울러 조합에 대해서도 동일하게 운영되도록 적극 지도․감독할 필요가 있음

(5) 신용카드 모집정보의 보안관리 강화

신협중앙회는 신용카드(○○카드) 고객 모집대행을 위해 2010.8.11.~2014.2.12. 기간중 취득한 카드신청 고객의 성명, 주민등록번호, 결제은행명, 결제계좌, 예금주, 핸드폰번호 등 고객모집정보를 ○○카드사에 전송한 후에도 민원응대 등을 이유로 별도로 보유하고 있는바

보유정보가 부당유출되는 경우 고객의 피해가 우려되므로 카드발급 관련 확인 및 민원응대 등을 위해 보유가 필요한 최소한의 기간을 설정하고 동 기간 경과시 파기하는 등 카드모집 대행과정에서 취득한 고객정보의 관리를 강화할 필요가 있음

나. 조치의뢰사항

(1) 이용자 계좌 비밀번호 암호화 불철저

｢전자금융거래법｣ 제21조, ｢전자금융감독규정｣ 제33조 및 신협중앙회 ｢개인정보보호내부관리계획｣ 제35조 등에 따르면, 신협중앙회는 정보처리시스템 및 전산자료에 이용자의 비밀번호를 보관하는 경우 비밀번호를 복호화하여 조회할 수 없도록 일방향 암호화하여야 함에도

이번 검사착수일(2014.2.5.) 현재, 복호화가 가능한 알고리즘을 적용하여 계좌 비밀번호를 암호화하였는바

관련 직원의 책임소재를 규명하여 합당한 조치를 취하시는 한편 시정사항에 대하여는 이를 시정하시고, 귀책자가 이미 퇴사하여 조치가 불가능한 경우에는 위법·부당사항 통보내용(위법사실의 통지 포함)과 귀사의 조치내용을 인사기록부에 기록·유지하시기 바람

< 시정사항 >

- 비밀번호의 일방향 암호화 등

< 관련규정 >

1.「전자금융거래법」제21조

2.「전자금융감독규정」제33조

3. 신협중앙회「개인정보보호 내부관리계획」제35조

다. 개선사항

(1) 신용정보 관리․보호 관련 내부지침 정비

2007.1.17.자로 제정․운용중인「개인신용정보관리․보호지침」은 신용정보처리 위탁의 기준 미비 등 그동안 수차례 개정되어 온 현행「신용정보의이용및보호에관한법률」내용을 제대로 반영하지 못하고 있으므로

동 법 제20조 제1항 및「신용정보업감독규정」제22조에서 정하고 있는대로 동 지침을 구체적이고 상세하게 마련할 필요가 있음 (관련부서 : 감사실)

(2) 조합의 고객정보 반출통제 및 실태점검 책임 명확화

「신용협동조합개인정보보호지침｣에서 조합의 개인정보보호책임자와 개인정보취급관리자의 임무를 정하고 있으나, ‘개인정보의 외부반출 통제’ 및 ‘관리실태 점검’ 업무를 담당할 직원은 명시되지 않아 개인정보 관리실태의 주기적인 점검 및 개인정보 반출 관리가 책임있게 이루어지기 어려운 실정이므로

이를 담당할 책임자를 명확하게 지정하여 관리하도록 동 지침을 개정할 필요가 있음 (관련부서 : 경영지원부)

(3) 자료유출방지시스템 성능 개선

이번 검사착수일 현재 자료유출방지시스템(DLP)의 일부 프로세스(CQNoti.exe 등)를 강제 종료하는 경우 동 시스템이 무력화되어 개인정보취급관리자의 승인 없이도 고객정보가 유출될 수 있고, 이 경우 관련 반출입 전산기록(Log)도 생성되지 않고 있으며, 또한 자료출력시마다 생성되어야 하는 전산기록(Log)이 2012.5월~ 2013.9월 기간중에는 서버부하 과다로 일부만 생성(전산기록과는 별개로 출력된 이미지는 해당 PC에 저장) 되었는바

자료유출방지시스템이 무력화되지 않고 전산기록(Log)이 누락되지 않도록 자료유출방지시스템의 성능을 개선할 필요가 있음 (관련부서 : IT기획관리부)

(4) 고객정보 등 자료유출방지 관리 개선

이번 검사착수일 현재 신협중앙회 직원중 파일 및 PC 반출, 보조저장매체(USB)의 등록 승인권한을 갖는 자를 팀당 2명 내외의 실무자(정:차장급, 부:차장급 이하)로 구성하여 총 ○○○명을 두고 있으며, 반출 승인업무 담당자 본인이 자료를 반출하고자 하는 경우 팀내 다른 담당자의 승인없이 본인승인만으로 자료를 반출할 수 있어 자료반출의 적정성을 점검할 수 있는 절차가 없는 상황이고 실제로 2012.1.1이후 이번 검사착수일(2014.2.5)현재까지 반출승인된 건의 □□%가 본인승인으로 자료가 반출되었는바

앞으로 개인정보 반출 승인업무 담당자의 직급을 상향조정하고, 반출 승인업무 담당자 본인의 자료반출에 대한 통제방안을 강구하는 등 자료반출 관리업무를 개선할 필요가 있음 (관련부서 : 준법지원실장)

(5) 고객정보 조회 통제 강화 필요

2012.1.1.~2014.2.6. 기간 중 신협중앙회에서 이루어진 고객정보 조회 중 약 절반(49.3%)이 고객센터를 운영하는 특정 팀(전자금융팀)에서 이루어지고 있는바

고객정보의 취급이 집중되거나 중요정보를 취급하는 부서 등을 중심으로 점검대상(부서, 임직원)을 선정하고 점검방법 등을 구체적으로 마련하여 고객정보 조회의 적정성을 주기적으로 점검토록 하는 등 고객정보 조회에 대한 통제를 강화하는 방안을 마련할 필요가 있음 (관련부서 : 준법지원실장)