동부생명보험 금감원 제재공시 · 2014-12-11

제재내용 공개안

1.금융회사명 :동부생명보험㈜

2.제재조치일(

검사서 통보일):201

4.1

2.11

.

3.제재조치내용

제재대상 제재내용

기 관 경영유의 2건,개선 5건

4.제재대상사실

가.경영유의사항

(

1)고객정보 과다조회자에 대한 점검 강화 요망

고객정보보호 전담부서에서 고객정보에 대한 이상․과다조회내역을 주기적으로 점검하고 있으나,이상․과다조회에 대한 명확한 기준과 과다조회자에 대한 처리방안 등 점검 프로세스가 내규에 구체적으로 반영되어 있지 않으므로

*

고객정보 이상․과다조회 기준 ,점검주기 및 절차,이상․과다 조회자에 대한 조치방안 등 관련 프로세스를 구체적으로 마련하여 시행할 필요가 있음

*휴일 또는 야간 집중조회,동종업무 통상조회건 대비 과다조회 등

(

2)임직원 PC 운영체제 보안 미흡

2

014

.4.

8.마이크로소프트사의 윈도우XP 서비스지원 종료 이후 새로운 보안위협에 대한 기술지원이 중단되었음에도 운영체제 변경없이 계속적으로 임직원 PC에 윈도우 XP운영 체제를 사용하고 있으므로,

운영체제를 신속히 교체하고,윈도우XP를 사용하는 기간중에는 한국인터넷진흥원( KISA)

에서 제공하는 전용백신을 이용하여 보안을 강화할 필요가 있음

나.개선사항

(

1)고객정보시스템 접속 로그기록 저장 및 보관 미흡

고객정보시스템에 대한 접속로그를 별도의 장치( 스토리지)

에 백업,보관하고 있으나,

*

스토리지 외에 WORM매체 등의 저장장치에 백업· 보관하여 접속기록의 삭제 또는 수정을

방지하는 등 안정성을 확보할 필요가 있으므로,

*WORM(

Wri

t

eOn

ceRe

adMa

ny)

매체 :기록은 한번 가능하고 읽기는 여러번 가능한 DVD등의 기록매체

접속기록이 온전하게 보관될 수 있도록 고객정보시스템 접속로그를 CD 및 DVD 등 별도장치에 백업·

저장하시기 바람

(

2)중앙통제방식에 의한 개인정보 검출시스템 구축 필요

임직원 PC 내 개인정보 보유 여부를 주기적으로 확인함에 있어 점검대상에서 설계사를 제외하고 있고,임직원 개개인이 본인 PC를 스스로 점검하는 방식으로 운영하고 있으며, 이를 준법감시부서 등에서 확인 및 관리하고 있지 않아 일부 직원이 점검을 누락하거나 개인정보 검출시스템 점검 후 불필요한 개인정보를 삭제하지 않는 사례 등에 대해 확인 할 수 없는 취약점이 있으므로,

개인정보검출시스템 적용대상을 설계사 PC 등까지 확대하고 중앙관리서버에 의한 실시간 자동검출방식을 도입하는 등 중앙통제 관리시스템을 구축하시기 바람

(

3)외부 용역업체에 대한 관리감독 미흡

외주업체에 제공하는 고객정보의 보호실태 점검 업무에 있어 프로젝트 수행 용역업체들의 계약관리를 철저히 하여야 함에도

외부용역업체가 사전 동의 없이 계약을 재위탁하거나 계약업체를 변경하는 것을 금지 하는 조항을 표준계약서에 포함시키고 있으나,실질적인 재위탁 여부 등 이를 확인하는 점검절차가 미흡하므로 이를 철저히 관리할 수 있도록 관련업무 방식을 개선하시기 바람

(

4)이동저장매체에 대한 통제 미흡

이동저장매체의 통제를 위하여 개인정보보호 책임담당자의 사전 승인하에 USB사용을

제한적으로 허용하고 있으나,보안 USB가 아닌 일반 USB를 사용하고 있는바,

일반 US

B는 분실․도난 등 사고 발생시 개인정보의 대외유출 위험성이 상존하는 등 보안 통제에 있어 취약하므로 사내 보안 USB를 도입하는 등 이동저장매체 관련 통제절차를 개선하시기 바람

(

5)임직원의 전산기기 반출입 통제 미흡

외주업체 전산기기 및 데이터 센터 내 전산기기 반․출입은 제공된 PC에 대한 사용 후 포맷,직원 출입시 보안담당자를 통한 USB 테잎 봉인 및 데이터 사용량 변화여부 점검 등 으로 반․출입 관련 통제가 이루어지고 있으나

대내부서 및 영업점 임직원의 경우,교육출장을 위한 노트북 사용 등 전산기기 반입․ 반출 현황에 대한 기록관리 및 사후모니터링이 미흡하는 등 통제가 취약한 실정이므로 고객정보 유출방지를 위해 임직원 전산기기 반․출입 통제 관련 업무 방식을 개선하시기 바람