동양생명보험주식회사 금감원 제재공시 · 2014-12-11

제재내용 공개안

1.금융회사명 :동양생명보험㈜

2.제재조치일(

검사서 통보일):201

4.1

2.11

.

3.제재조치내용

제재대상 제재내용

기 관 경영유의 1건,개선 3건

4.제재대상사실

가.경영유의사항

(

1)고객정보 과다조회자에 대한 점검 강화 요망

고객정보 과다조회에 대한 점검을 함에 있어 퇴사자에 한하여 직전 2 개월간 고객정보

조회이력을 점검하고 있으나

이상조회 기준*,점검주기 및 절차,

점검대상을 전 직원으로 확대하고,고객정보 과다· 과다·

이상 조회자에 대한 조치방안 등을 구체적으로 마련하여 시행할 필요가 있음

*휴일 또는 야간 집중조회,동종업무 통상조회건 대비 과다조회 등

나.개선사항

(

1)외부 용역업체에 대한 관리감독 미흡

고객정보 관련 프로젝트 수행과정에서 외부 I T용역업체 및 재위탁 업체 직원들이 작성하는 보안서약서에 프로젝트명 및 프로젝트 수행기간 등을 명시하지 않고 프로젝트별로도 구분하여 관리하지 않고 있으며,프로젝트 수행기간 중 전산기기의 반출입이 허용되고 있고 프로젝트 종료 시 전산기기내 고객정보 등의 삭제를 위한 관리절차가 미비되어 있으므로

보안서약서 양식에 프로젝트명 및 프로젝트 수행기간을 추가하고 프로젝트별로 체계적으로 관리하는 한편,프로젝트시 필요한 PC 등 전산기기를 회사에서 지급하는 것을 원칙으로 하고 극히 예외적인 경우에 한하여 반출입을 허용하여 정보유출 가능성을 사전에 차단할 필요가 있음

(

2)이동저장매체에 대한 통제

이동저장매체의 통제를 위하여 쓰기 기능을 원칙적으로 금지하고 업무상 필요시에는 부서장 등의 승인을 거쳐 제한적으로 쓰기를 허용하고 있으며,이 경우에도 개인정보검출 시스템을 이용하여 개인정보를 이동저장매체에 저장하지 못하도록 하고 있으나,보안 USB가 아닌 일반 USB를 사용하고 있는바,

개인정보검출시스템을 거치지 않을 경우 등으로 인해 개인정보가 USB에 저장된 상태 에서 USB 분실·

도난등 사고발생시 개인정보가 대외 유출될 위험성이 상존하는 등 USB 보안 통제가 미흡하므로,사내 보안 USB를 도입하는 등 이동저장매체 관련 통제절차를 개선 하시기 바람

(

3)중앙통제방식에 의한 개인정보 검출시스템 구축 필요

임직원 PC 내 개인정보 보유 여부를 주기적으로 확인함에 있어 점검대상에서 설계사를 제외하고 있고,임직원 개개인이 본인 PC를 스스로 점검하는 방식으로 운영하고 있으며, 이를 준법감시부서 등에서 확인 및 관리하고 있지 않아 일부 직원이 점검을 누락하거나 개인정보 검출시스템 점검 후 불필요한 개인정보를 삭제하지 않는 사례 등에 대해 확인 할 수 없는 취약점이 있으므로

개인정보검출시스템 적용대상을 설계사 PC 등까지 확대하고 중앙관리서버에 의한 실시간 자동검출방식을 도입하는 등 중앙통제 관리시스템을 구축하시기 바람