효성캐피탈주식회사 금감원 제재공시 · 2016-04-22

제재내용 공개안

1. 금융회사명 효성캐피탈 :

2. 제재조치일 검사서 통보일

( ) : 2016. 4. 22.

3. 제재조치내용

제재대상 제재내용

기 관 개선 건 5

임 원 -

직 원 -

※ 조치내용 중 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적

성격의 조치임

4. 제재대상사실

가 개선사항

.

(1) 내부정보 유출방지대책 불합리

◦ 내부자료 보안을 위해 직원의 단말기에 문서암호화시스템 및 자료유출방지

솔루션 등을 설치하여 문서 암호화 및 쓰기 통제 등을 운영하고 있으나 USB

문서암호화시스템의 자체 승인권자가 암호화 해제를 승인한 경우 동 승인내역을 별도로 점검하지 않고 있으며 암호화 해제 문서의 재암호화 절차를 마련하지 않아 암호화 해제된 내부 자료 등이 외부로 유출될 위험이 있고 USB쓰기권한 부여시 허용기간에 대한 통제기준을 마련하지 않아 허용기간을 필요 이상으로 과도하게 부여하여 등 저장매체를 통한 정보유출 우려가 USB

있으므로 ,

자체 승인권자의 암호화 문서 해제 승인 내역의 적정성을 검증 및 암호화 해제 문서의 재암호화 절차를 마련하고 쓰기 허용기간을 설정하는 등USB

자료유출통제 절차 개선 필요

(2) 백업 및 소산정책 불합리

◦ 주요 업무에 대한 백업정책을 수립하여 주기적으로 백업 및 소산을 실시하고

있으나 백업된 전산자료를 이용한 복구테스트 등 실효성 검증을 실시하지 않고 있어 재해상황 발생시 복구에 필요한 전산자료가 유실되거나 적시에 복구가 이루어지지 않을 우려가 있으므로

백업 전산자료를 이용하여 정기적으로 복구 테스트를 실시하는 등 백업 전산 자료의 실효성 검증 절차를 마련하여 재해발생시 적시에 복구가 이루어질 수 있도록 백업 및 소산 정책을 개선필요

(3) IT 관련 내규 관리 불합리

◦ 관련 업무에 대한 규정 지침 매뉴얼을 각각 제정하여 운영하고 있고

IT , ,

을 통해 임직원이 쉽게 공유할 수 있도록 관리하고 있으나 OOO

규정 및 지침의 경우 전산운영 변경사항 및 전자금융감독규정 등 관련 법규의 최신 개정내용 등이 반영되어 있지 않아 관련 법규 등을 준수하지 못하고 매뉴얼의 경우 제 개정 현황 등을 관리하고 있지 않아 업무 혼선이 발생할

·

우려가 있으므로 ,

전산운영 변경사항 및 관련 법규 개정사항 등이 최신상태로 반영될 수 있도록 제 개정 현황 관리 절차를 개선 필요

·

(4) 고객정보 접근통제 불합리

◦ 현업 직원이 OOO 에서 고객정보를 대량으로 조회시 에 마스킹을 적용

OOO

하는 등 고객정보에 대한 접근을 통제하고 있으나 의 경우 암호화 등 별도의 통제 없이 를 통해 고객정보를 대량으로

OOO OOO

조회할 수 있어 대량 정보 유출의 우려가 있으므로 앞으로 를 통한 고객정보 조회시 암호화 등 통제절차를 거치도록 하는 OOO

등 고객정보 접근통제 관련절차 개선 필요

(5) 비밀번호 등 암호화 불합리

◦ 시스템의 에 대한 비밀번호 암호화를 보안강도가 미약한 암호화

OOO OOO

알고리즘 을 적용하고 있어 해킹 등에 의한 비밀번호 노출 가능성이 (OOO)

있으므로

이용자 비밀번호 등을 보안성이 높은 암호화 알고리즘으로 암호화하는 등 암호화 방식 개선 필요