무궁화신탁 금감원 제재공시 · 2014-12-09

제재내용 공개안

1. 금융회사명 : ㈜무궁화신탁

2. 제재조치일 : 2014. 12. 9.

3. 제재조치내용

[표]

제재대상 | 제재내용

기 관 | 경영유의 개선

[/표]

4. 제재대상사실

가. 경영유의사항

(1) 고객정보 유출 및 오ㆍ남용 방지를 위한 내부통제 강화 필요

□ 고객정보 유출 및 오·남용 방지를 위해 오·남용시 제재기준을 설정하고, 고객정보 조회건수 급증 등 이상 과다조회의 적정성 여부를 수시 점검하는 내부통제시스템이 미흡한 상황이므로

◦ 고객정보 오·남용 제재기준을 구체적으로 설정하고 과다조회의 적정성 여부를 수시 점검하는 등 내부통제시스템을 갖출 필요

(2) 고객정보처리시스템 보안 관련 내부통제 강화 필요

□ 내부정보유출방지솔루션(DLP) 및 DRM 등 보안 소프트웨어를 도입하여 정보유출에 대한 통제를 하고 있으나 일부 임직원에 대해 동 솔루션이 설치되어 있지 않은 사례가 있고

정보처리시스템 개발 관련 외주업체에 대한 구체적인 내부 관리규정 미비 등 정보관리 및 보안유지를 위한 내부통제가 다소 미흡하므로

◦ DLP, DRM 등 보안 소프트웨어는 특별한 사유가 없는 한 모든 임직원 PC에 예외없이 설치하고, 외주업체 관리규정 마련 등 전산 관련 내부통제 강화 필요

(3) 전산실 출입통제 강화 필요

□ 회사 내규 정보보호규정 제23조(전산실 보호)에 의하면 전산실 출입통제를 위해 출입내역 기록ㆍ보관 및 무인감시카메라 또는 출입자동기록시스템 설치 등 적절한 조치를 취하도록 하고 있음에도

◦ 전산실 출입을 통제할 수 있는 출입내역 기록ㆍ보관이 이루어지지 않고있으며 무인감시카메라(CCTV) 또는 출입자동기록시스템이 설치되지 않아 전산실에 대한 물리적 보호가 미흡하므로 관련 내규를 철저히 준수하여 전산실 보호가 적절히 이루어질 수 있도록 할 필요

(4) 고객정보 파기업무 관련 관리 철저 필요

□ 보유기간 경과, 처리목적 달성 등으로 불필요하게 된 고객정보는 지체없이 파기하여야 하고, 다른 법령에 의해 보존하여야 하는 경우에는 다른 고객정보와 분리하여 보관하여야 하므로

◦ 분양사업이 종료 되어 파기대상인 고객정보는 지체없이 파기하고 다른 법령에 의해 보존기한이 남은 고객정보에 대해서는 영업목적에 이용되지 않도록 다른 고객정보와 분리 보관하는 등 관리를 철저히 할 필요

나. 개선사항

(1) 신용정보관리ㆍ보호인 미지정

□ 신용정보제공ㆍ이용자는 신용정보를 보호하고 신용정보와 관련된 신용정보주체의 고충을 처리하는 신용정보관리ㆍ보호인을 1명 이상 지정하여야 함에도

◦ 회사는 개인정보보호법상 개인정보 보호책임자를 선임하여 운영하고 있으나 신용정보관리ㆍ보호인을 선임하고 있지 않으므로 신용정보관리ㆍ보호인을 선임하여 관련 업무를 철저히 수행토록 할 필요

< 관련규정 >

1.「신용정보업감독규정｣ 별표3.(신용정보관리․보호인)

(2) 신용정보 활용체제 미수립

□ 신용정보제공ㆍ이용자는 신용정보의 처리에 관하여 ‘신용정보활용체제’를 작성하고 이를 공시하여야 함에도

◦ 회사는 개인정보보호법상 ‘개인정보 처리방침’을 수립하여 홈페이지에 공시하고 있으나, ‘신용정보활용체제’를 작성하고 있지 않으므로 이를 마련하고 인터넷 홈페이지 등을 통해 공시할 필요

< 관련규정 > 1.「신용정보업감독규정｣ 제38조(개인신용정보의 제공사실 통보 또는 공시)

(3) 고객정보처리시스템 접근통제 강화 필요

□ 전체 신탁사업의 고객정보에 대한 접근권한을 모든 사업본부 및 경영지원본부에 차등 없이 부여함으로써 고객정보 접근통제가 다소 미흡하고,

전산실 내에 위치한 고객정보처리시스템이 인터넷 등 외부통신망으로부터 물리적으로 분리되지 않아 해킹 등의 위험에 노출되어 있으며, 내부직원의 고객정보처리시스템 접속 비밀번호가 양방향 암호화 되어 있어 정보유출 및 해킹 등 외부침입에 취약한 상태이므로

◦ 접근권한을 서비스제공을 위하여 필요한 최소한의 인원에게만 부여하고, 전산실 내 고객정보처리시스템을 인터넷 등 외부통신망으로부터 분리하고, 내부직원의 고객정보처리시스템의 접속 비밀번호를 일방향 암호화 하는 등 접근통제를 강화할 필요

< 관련규정 > 1.「신용정보업감독규정｣ 별표3(개인신용정보의 암호화)

2.「개인정보의 안전성 확보조치 기준 고시」제7조(개인정보의 암호화)