현대해상화재보험 금감원 제재공시 · 2017-12-29

[표]

제재내용 공개안

[/표]

1. 금융회사명 : 현대해상화재보험(주)

2. 조치일 : 2017. 12. 29.

3. 조치내용

[표]

대상 | 내 용

기관 | 문책 및 자율처리필요사항 2건, 과태료 5,750만원 임직원 | 임원 : 퇴직자위법사실통보(주의수준) 1명 직원 : 자율처리필요사항 통보 [/표]

4. 조치대상사실

가. 문책 및 자율처리필요사항

(1) 시스템 개발·운영관리 및 공개용웹서버 관리 불철저

󰊱 ｢전자금융거래법｣ 제21조제2항 및 ｢전자금융감독규정｣ 제7조, 제29조, 제30조에 의하면 금융회사는 프로그램을 운영시스템에 적용할 때는 처리하는 정보의 기밀성·무결성·가용성을 고려하여 충분한 테스트 및 관련 책임자 승인 후 실시하여야 하고

안전하고 체계적인 일괄작업 수행을 위하여 일괄작업은 작업요청서에 의한 책임자의 승인을 받은 후 수행해야 하며, 일괄작업 수행 과정에서 오류가 발생하였을 경우 반드시 책임자의 확인을 받아야 하는데도,

현대해상화재보험은 검사착수일(2017.3.13.) 현재 기간계를 포함한 시스템 개발 및 운영 업무를 외부주문 업체인 현대HDS에 일임하고 프로그램을 운영시스템에 적용할 때 회사 책임자의 승인 없이 외부주문 업체 개발담당 직원이 직접 처리하고 있으며,

검사대상기간 동안 외부주문 업체 일괄작업 담당직원이 책임자 승인 없이 일괄작업을 수행(○건)하였으며, 일괄작업 수행 시 발생한 오류(○건)에 대해 회사 책임자의 확인 절차 없이 외부주문 업체에서 자체적으로 처리하여 자동이체 청구 일괄작업 이전에 보험료 변경 일괄작업이 이루어지지 않음으로써 총 ○건의 은행자동이체 착오 수금이 반복적으로 이루어진 사실이 있음

󰊲 ｢전자금융거래법｣ 제21조제2항 및 ｢전자금융감독규정｣ 제7조, 제17조에 의하면 금융회사는 내부통신망과 외부통신망 사이의 독립된 통신망(이하 "DMZ구간") 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 않도록 해야 하고 거래로그를 관리하기 위한 경우에는 예외로 하되 이 경우에도 반드시 암호화하여 저장·관리하여야 하는데도,

현대해상화재보험은 검사착수일(2017.3.13.) 현재 DMZ구간에서 운영하는 대용량의 메일서버(mail-security)에서 이용자의 성명, 주소, 주민등록번호, 연락처, 보험계약명 등 주요정보가 포함된 파일을 암호화하지 않고 저장한 사실이 있음

(2) 개인신용정보 삭제 및 분리보관 불철저

□ ｢신용정보의이용및보호에관한법률｣제20조의2 등에 의하면 신용정보제공ㆍ이용자는 금융거래 등 상거래관계가 종료된 날부터 3개월까지 해당 신용정보 주체의 개인신용정보가 안전하게 보호될 수 있도록 접근 권한을 강화하고 금융거래 등 상거래관계의설정 및 유지 등에 필수적인 개인신용정보의 경우를 제외한 정보는 모두 삭제하여야 하며

상거래관계가 종료된 날부터 5년이 경과한 이후 예금‧보험금의 지급, 보험사기자의 재가입 방지 등을 위해 개인신용정보를 삭제하지 아니하고 보존하는 경우에는 현재 거래 중인 신용정보주체의 개인신용정보와 분리하여야 하는데도*,

* 금융감독원은 개인신용정보 삭제 등 신용정보법 개정사항에 대해 ○차례에 걸쳐 지도

현대해상화재보험은 검사기준일(2017.3.13.) 현재 회사가 관리중인 개인신용정보 DB중 하나인 ‘임시개인고객부가정보’ 테이블에서 보험계약이 종료되고 3개월이 지난 신용정보주체의 상거래관계 유지 등에 필수적이지 않은 정보**를 삭제하지 않았으며

** ‘임시개인고객부가정보’ 테이블에 저장된 결혼여부, 혈액형, 배우자직업코드, 종교, 본관, 출신지역 등 불필요한 정보(총 건수 ○건, 삭제대상 ○건)

개인신용정보 DB에서 금융거래가 종료된 날로부터 5년이 경과된 개인신용정보 중 보존이 필요한 개인신용정보***를 현재 거래중인 신용정보주체의 개인신용정보와 구분·분리하여 보관하지 않은 사실이 있음

*** 보험금 지급, 보험사기자의 재가입 방지 등을 위하여 분리·보관이 필요한 보험계약, 배서, 제지급 등과 관련된 개인신용정보