에이스생명보험주식회사 금감원 제재공시 · 2014-12-11

제재내용 공개안

1.금융회사명 :에이스생명보험㈜

2.제재조치일(

검사서 통보일):201

4.1

2.11

.

3.제재조치내용

제재대상 제재내용

기 관 경영유의 3건,개선 1건

4.제재대상사실

가.경영유의사항

(

1)고객정보 과다조회자에 대한 점검 강화 요망

고객정보 보호업무 전담부서에서 매주 임직원의 고객정보 조회건수를 산출하여 과다 조회 임직원 및 부서의 조회 내역을 점검하고 필요시 소명을 하고 있으나,과다 조회에 대한 구체적인 기준 등이 마련되어 있지 않아 점검의 실효성이 미미한 실정이므로

*

고객정보 과다·

이상 조회 기준 ,점검주기 및 절차,과다·

이상 조회자에 대한 조치방안

등을 구체적으로 마련하여 시행할 필요가 있음

*휴일 또는 야간 집중조회,동종업무 통상조회건 대비 과다조회 등

(

2)DB접근권한자에 대한 통제 강화 필요

DB접근권한자의 DB 관련 작업시 사전적으로 승인을 득하고 작업내용을 기록· 관리하고

있으나,DB접근권한자가 사전에 승인받은 작업내용과 실제작업 내용을 비교하는 점검 절차가 누락되어 있으므로

DB접근권한자가 DB에 수행한 작업에 대하여 익일에 사전 승인받은 내용과 비교점검을 철저히 시행하는 등 사후점검 절차를 마련하여 통제를 강화하시기 바람

(

3)개인정보 보안 전담인력 충원 필요

I

T보안 실무를 전담하는 인력을 충분히 확보하여 개인정보 취급자에 대한 관리· 감독

강화 및 고객정보 유출사고 예방이 필요한데도 검사착수일( 201

4.5

.2)현재 I

2 T보안 전담인력이 2

명에

불과하여 관련 업무*를 수행하기에는 부족한 상황이므로,

*I

T보안 전담인력이 수행하는 업무는 I

T보안 예산 및 기획업무,I

T보안 규정·

지침·

매뉴얼 마련,자체 보안

성 및 정기 취약점 점검 실시,I

T보안 정기 모니터링 수행 등

I

T보안 실무를 전담하는 인력을 충원하여 고객정보 관련 사고 등을 미연에 방지할 필요가 있음

나.개선사항

(

1)중앙통제방식에 의한 개인정보 검출시스템 구축 필요

임직원 PC 내 개인정보 보유 여부를 주기적으로 확인함에 있어 점검대상에서 설계사를 제외하고 있고,임직원 개개인이 본인 PC를 스스로 점검하는 방식으로 운영하고 있으며, 이를 준법감시부서 등에서 확인 및 관리하고 있지 않아 일부 직원이 점검을 누락하거나 개인정보 검출시스템 점검 후 불필요한 개인정보를 삭제하지 않는 사례 등에 대해 확인 할 수 없는 취약점이 있으므로,

개인정보검출시스템 적용대상을 설계사 PC 등까지 확대하고 중앙관리서버에 의한 실시간 자동검출방식을 도입하는 등 중앙통제 관리시스템을 구축하시기 바람