한국산업은행 금감원 제재공시 · 2015-06-08

제재내용 공개안

1. 금융회사명 : 한국산업은행

2. 제재조치일 : 2015. 6. 8.

3. 제재조치내용

[표]

제재대상 | 제재내용

임 원 | 주의상당 1명

직 원 | 견책(상당) 5명, 주의(상당) 5명 및 조치의뢰 [/표]

4. 제재대상사실

가. 문책사항

1. 법인 고객의 신용정보에 대한 안전성 보호조치 부적정

금융회사의 임직원은 그 직무를 수행함에 있어서 전자금융거래의 안전성과 신뢰성을 확보하고 신용정보전산시스템을 안전하게 보호할 수 있도록 관계법령, 내부통제기준 등 관련법규를 준수하여야 하는데도

◦ 2006.9.8.〜2014.6.9. 기간중 한국산업은행은 ◎◎◎◎시스템의 유지보수 및 업그레이드 업무를 수행하면서 다음과 같이 이용자정보 미변환 등 관련법규를 위반함으로써 최소 52,896건 〜 최대 1,489,425건의 법인 신용정보*가 수록된 전산원장(이하 ‘◉◉◉◉◉ DB‘라 함)을 총 26회에 걸쳐 역외 ▦▦▦▦사**에 제공하는 결과를 초래케 하였음

* 고객식별번호 : 업체(4자리) + 국가(2자리) + 도시(2자리)

파생금융상품 거래정보 : 상품명, 계약일, 계약효력일, 계약금액, 인도방법, 인도일, Buy/Sell, Call/Put, 옵션만기일/행사일, 행사가격, 행사일자, 결제일, 결제금액 등

** ◎◎◎◎ Southeast Asia PTE Ltd : 싱가폴 소재 ◎◎◎◎ 아시아지역담당본부

⑴ 전산업무 외부주문시 보안성검토 미실시

금융회사는 전산개발 등을 위한 외부주문의 경우에는 자체 보안성검토를 실시하고, 다량의 고객정보를 보유‧관리하는 정보시스템의 신규개발, 도입과 변경 등 보안성검토가 필요한 경우에는 보안관리자에게 관련자료와 함께 보안성검토를 요청하여야 하는데도

◇◇◇◇부는 2012.8.9.～2014.4.5. 기간중 다량의 법인 신용정보를 보유‧관리하는 ◎◎◎◎시스템의 유지보수 및 업그레이드를 위한 외부주문시 자체 보안성검토를 실시하지 않았고 보안관리자에게 보안성검토를 요청하지도 않았음

< 관련법규 >

1. ｢전자금융거래법｣ 제21조

2. ｢전자금융감독규정｣ 제60조

3. 한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조

⑵ 계약조항 불이행 등 유지보수 업무처리 불철저

금융회사는 정보처리시스템 구축 등과 관련한 계약업무를 수행함에 있어 계약조항을 이행하지 못하는 사유가 발생할 경우에는 검사부서의 승인을 받아야 하는바,

◇◇◇◇부와 ▲▲▲▲실은 ◎◎◎◎시스템의 유지보수를 위한 계약조항 중 원격접속을 통한 유지보수 조항의 이행이 2007.8.29.부터 사실상 불가능*하게 되었는데도 검사부서의 승인을 받지 않았으며,

* 2006.9.8. 체결한 유지보수계약서에 의하면 ◎◎◎◎시스템의 유지보수는 ▦▦▦▦사의 현장방문 또는 원격지원에 의해 이루어지게 되어 있으나, 2007.8.29.부터 재경부가 ‘원격근무 및 PC보안관리 강화대책’을 마련하고 국정원이 이에 대한 통제를 강화함에 따라 동 시점부터는 원격접속을 통한 유지보수가 사실상 금지됨

2009.6.30.부터 이번 검사착수일(2014.9.15.) 현재까지 계약조항에 없는 FTP* 전송방식을 통해 대량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 ▦▦▦▦사에 제공하는 등 ◎◎◎◎시스템의 유지보수업무를 부적절하게 처리하였음

* FTP(File Transfer Protocol) : 인터넷을 통해 파일을 전송하는 방식을 일컫는 표준규약

< 관련법규 >

1. ｢전자금융거래법｣ 제21조

2. ｢전자금융감독규정｣ 제21조

3. 한국산업은행 ｢IT업무지침｣ 제11조, 제12조, 제13조

⑶ 이용자정보 미변환 등 전산자료 보호대책 불이행

금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 이용자 정보의 사용을 금지하되 부득이 부하 테스트 등 사용이 불가피한 경우 이용자 정보를 변환하여 사용하여야 하는데도

◐◐◐◐실은 2006.11.10.～2014.4.5. 기간중 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 총 26회에 걸쳐 ▦▦▦▦사에 제공하면서 이용자정보를 변환하지 않았음

< 관련법규 >

1. ｢전자금융거래법｣ 제21조

2. ｢전자금융감독규정｣ 제13조

3. 한국산업은행 ｢IT업무지침｣ 제61조

⑷ 작업기록 미보존 등 서버관리 및 운영업무 불철저

금융회사는 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중 확인을 하여야 하고, 데이터베이스에 직접 접근하여 중요원장을 조회‧수정‧삭제‧삽입하는 경우 작업내용 등을 5년간 기록‧보존하여야 하는바,

㈎ 2006.11.10.〜2014.4.5. 기간중 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자는 외주 상주용역직원이 동 서버로부터 ◉◉◉◉◉ DB를 여러 번에 걸쳐 덤프(dump*)로 내려 받는 등의 중요작업을 수행하고 있었는데도 이에 대한 이중 확인을 하지 않았고 관련 작업내용 등을 기록‧보존하지도 않았음

* 데이터베이스의 구조 및 원본 전산자료를 파일 형태로 일괄적으로 내려 받는 전산작업

㈏ 최고정보관리책임자(CIO)*는 ◎◎◎◎시스템의 ◉◉◉◉◉ DB서버 관리책임자가 외주 상주용역직원의 중요작업** 수행업무에 대한 이중 확인을 하지 않는 것을 알면서도 이에 대한 적절한 시정조치를 취하지 않았음

* IT본부 본부장(CISO : 정보보호최고책임자)이 겸임

** ◎◎◎◎시스템의 ◉◉◉◉◉운영DB를 덤프로 내려 받고 이용자정보 변환 없이 개발 DB서버로 복사

< 관련법규 >

1. ｢전자금융거래법｣ 제21조

2. ｢전자금융감독규정｣ 제27조, 제28조

3. 한국산업은행 ｢IT업무지침｣ 제98조

⑸ 정보보호최고책임자의 정보보호 점검업무 불철저

정보보호최고책임자(CISO)는 금융회사 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립, 정보기술부문의 보호 및 관리, 전자금융거래의 사고예방 및 조치 등 정보기술부문 보안에 대한 관리‧감독 총괄업무를 수행하여야 하는바,

2012.7.27. 이후 정보보호최고책임자는 금융전산실에서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB를 장기간에 걸쳐 이용자정보 변환 없이 자체 원격접속시스템이 아닌 보안이 취약한 FTP를 통해 역외 외주업체에 제공하고 있었는데도 이에 대한 보안실태를 점검하거나 적절한 보안대책을 마련하지 않았음

< 관련법규 >

1. ｢전자금융거래법｣ 제21조의2

2. 한국산업은행 ｢정보시스템세칙｣ 제17조

⑹ 준법감시 관련 점검업무 소홀

각 단위조직의 장은 소관업무 및 소관조직에 대하여 업무의 중요도 및 위험도를 감안하여 내부통제기준의 준수여부에 대한 점검기준을 설정하고, 소관조직 내 직원의 법규준수 여부를 주기적으로 점검하여야 하는바,

▣▣▣▣부 및 ◐◐◐◐실은 준법감시활동보고서의 점검항목인 ‘고객정보의 제공 및 관리준수‘의 적정성 여부를 총 4회*에 걸쳐 점검하면서 다량의 법인 신용정보가 수록된 ◉◉◉◉◉ DB가 이용자정보 변환 없이 역외 외주업체에 제공되고 있었는데도 준법감시인에게 ’특이사항 없음‘으로 보고하는 등 준법감시 관련 점검업무를 소홀히 하였음

* 2014.1월, 2014.2월, 2014.3월, 2014.4월 준법감시활동보고서

< 관련법규 >

1. ｢은행법｣ 제23조의3

2. ｢은행법시행령｣ 제17조의2

3. 한국산업은행 ｢내부통제규정｣ 제5조, 제17조, 제19조

⑺ 신용정보관리‧보호인의 소관업무 소홀

신용정보관리·보호인은 신용정보 관리‧보호 관련 내규의 제‧개정 업무가 소관사항으로 되어 있고, 임직원이 신용정보관리‧보호 관련 법령 등을 준수하고 있는지를 점검‧교육하여야 하는바,

㈎ 신용정보관리‧보호인(수석부행장)은 자신의 소관사항인 신용정보관리‧보호 관련 내규의 제‧개정 업무를 2009.12.30.～2014.8.7. 기간중 리스크관리본부장(또는 리스크관리부장)이 전결로 처리하고 있었는데도 이에 대한 적절한 조치를 취하지 않았음

㈏ 준법감시인은 2009.12.30. 신용정보관리‧보호인으로부터 신용정보관리‧보호 관련 내규 등의 준수여부 점검 및 교육업무를 위임*받고 개인신용정보 관련 점검 및 교육은 실시하였으나 법인신용정보에 대한 점검 및 교육을 실시하지 않았음

* 은행내규「신용정보관리‧보호지침」제5조 및 제6조에서 신용정보관리‧보호인의 소관업무 중 점검‧교육업무를 준법감시인에게 수행토록 위임하였음

< 관련법규 >

1. ｢신용정보의이용및보호에관한법률｣ 제19조, 제20조

2. ｢신용정보의이용및보호에관한법률시행령｣ 제16조, 제17조

3. ｢신용정보업감독규정｣ 제20조[별표3], 제22조

4. 한국산업은행 ｢신용정보관리·보호지침｣ 제5조, 제6조