엠지손해보험주식회사 금감원 제재공시 · 2015-05-08

[표]

제재내용 공개안

[/표]

1. 금융기관명 : MG손해보험㈜

2. 제재조치일 : 2015. 5. 8.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 과태료 450만원 부과, 경영유의 1건, 개선 5건 직 원 | 주의 2명, 조치의뢰

[/표]

4. 제재대상사실

가. 문책 및 조치의뢰 사항

(1) 개인신용정보시스템 관리 불철저

신용정보관리․보호인은 개인신용정보 조회 권한이 직급별․업무별로 차등 부여되도록 하여야 하고, 금융회사는 개인신용정보취급자가 개인신용정보처리시스템에 접속하여 개인신용정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인·감독하고, 단말기를 통한 이용자 정보 조회시 사용자, 사용일시, 변경·조회내용, 접속방법이 정보처리시스템에 자동적으로 기록되도록 하고 그 기록을 1년 이상 보존하여야 하는데도,

㈎ ◎◎◎◎◎◎․◎◎◎ ◇◇ ☆☆☆은 2014.3.24.～2014.7.4. 기간 중 조회 권한을 차등 부여하지 않고 회사의 모든 임‧직원에게 계약자, 증권번호, 보험료, 청약일자 등 개인신용정보 조회가 가능하도록 하였고,

㈏ 회사는 2013.1.1.～2014.3.23. 기간 중 개인신용정보 처리시스템에 접속하여 개인신용정보를 처리한 경우 처리일시, 처리내역 등 접속기록에 대해 저장 및 확인·감독을 하지 않았으며, 단말기를 통한 이용자 정보 조회시 사용자, 사용일시, 변경·조회내용, 접속방법이 시스템에 자동적으로 기록‧보존되도록 하지 않았음

< 관련규정 >

1. ｢신용정보의 이용 및 보호에 관한 법률｣ 제19조

2. ｢전자금융거래법｣ 제21조

3. ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조

4. ｢신용정보업 감독규정｣ 제20조 및 [별표3]

5. ｢전자금융감독규정｣ 제7조, 제13조

나. 경영유의사항

(1) 고객정보 과다 조회자에 대한 관리 강화

고객정보시스템을 통한 고객정보 과다조회 점검기준(일 300건)을 2013. 10월∼12월 기간중 최대 조회부서의 일평균 조회건수(223건)을 초과하게 설정하여 과다조회자가 발생하지 않는 등 불합리하게 운영되고 있으므로

고객정보시스템 조회권한을 최소화하고 과다조회 점검기준을 합리적으로 설정하며 과다 조회 부서 및 직원에 대해 수시 점검을 실시하는 등 관련 내부통제를 강화할 필요가 있음

다. 개선사항

(1) 선택적 동의사항 등 표기 방법 개선

㈎ 2014.4.9.부터 운용중인 ‘자동차보험 완전판매 스크립트’(사전심의필 14-030호)에는 정보주체에게 상품소개 등을 위해 개인정보를 수집․이용 및 제공을 위한 동의를 구하면서 선택적 동의사항을 필수 동의인 것처럼 설명하고 있으므로 정보주체가 ‘필수 동의사항’과 ‘선택적 동의사항’을 오인하지 않도록 관련 업무를 합리적으로 개선하시기 바람

㈏ 또한 정보주체에게 개인정보의 제3자 제공동의를 구하면서 개인정보를 제공받는 자를 ‘보험개발원․손해보험협회 등’ 포괄적으로 정해 동의를 받으면서 개인정보의 이용목적, 제공항목, 이용기간, 거부할 권리 및 거부시 불이익 내용 등을 알리지 않고 운영하고 있으므로 정보주체가 제3자 제공 동의 여부를 실질적으로 판단할 수 있도록 관련 업무를 합리적으로 개선하시기 바람

(2) 손해사정위탁업체 보안관리 업무 개선

◎◎◎◎◎◎㈜ 등 20개 손해사정위탁업체에서는 손해사정보고서 등에 대한 암호화 등 보안관리 대책이 없으며, 조사업무 종결 후에도 피보험자 주민등록번호 등이 담긴 손해사정보고서 등의 출력이 가능하므로, 손해사정위탁업체에 대해 개인정보의 저장·보관시 암호화 및 출력시 보안절차를 강화하도록 관리․통제 업무를 개선하시기 바람

(3) 단말기 관리업무 개선

㈎ 단말기 보호 및 비밀번호 유출을 방지하기 위한 비밀번호 관리정책*을 마련하지 않아 유추가능한 비밀번호 사용이 가능하게 운영되고 있으므로 비밀번호 관리 업무를 합리적으로 개선하시기 바람

* 숫자·영문자·특수문자 혼합 8자리 이상, 분기별 1회 이상 변경

㈏ 주요정보 또는 이용자 정보가 수록되어 있는 정보처리시스템 관리용 단말기를 중요단말기로 지정하지 않고, 중요단말기로 지정된 전산기계실내 일부 단말기에서 개인정보처리시스템 접속 및 인터넷 접속 등이 동시에 이루어 질 수 있는 상태로 운영되고 있어 주요정보 등이 외부로 유출될 가능성이 있으므로 단말기 보호대책을 강화하도록 관련 업무를 합리적으로 개선하시기 바람

(4) 서버시스템 인증절차 강화

정보처리시스템내 운영체제(Operating System) 계정의 로그인(Log in)에 있어 계정 및 비밀번호 이외에 별도 인증 절차를 마련하고 있지 않고, 일부 계정은 5회 이상의 접속 오류가 발생하여도 사용을 제한하지 않으며, 서버시스템에 접속하는 계정을 공동으로 이용하면서도 개인별 사용내역을 기록·관리하지 않고 있으므로

정보처리시스템내 운영체제 및 서버시스템 인증절차를 강화하도록 관련 업무를 합리적으로 개선하시기 바람

(5) 정보보호시스템 보안관리 업무 개선

임․직원의 PC가 보안이 취약한 외부DNS*에 직접 연계되어 있어 파밍** 등의 외부침해 행위에 취약하고, 인가되지 않은 단말기의 사내 네트워크 접속을 차단하기 위한 보안대책이 없으며, 무선통신망 등을 통한 내부통신망 접속을 차단할 수 있는 장치가 마련되어 있지 않으므로

외부DNS에 직접 연계되고 있는 임직원의 PC를 제한하고 미인가 단말기를 통한 사내 네트워크 접속을 방지하며 무선통신망 차단장치를 구축하여 해킹 사고 위험을 방지하는 등 보안대책을 강화하도록 관련업무를 합리적으로 개선하시기 바람

* DNS(Domain Name Server) : 네트워크에서 도메인이나 호스트 이름을 숫자로 된 IP 주소로 해석해주는 TCP/IP 네트워크 서비스

** 파밍(Pharming) : 정상적인 홈페이지 주소로 접속하여도 가짜사이트로 유도하여 개인금융정보 등을 몰래 빼가는 행위