흥국화재해상보험주식회사 금감원 제재공시 · 2018-01-22

[표]

제재내용 공개안

[/표]

1. 금융회사명 : 흥국화재해상보험(주)

2. 조치일 : 2018. 1. 22.

3. 조치내용

[표]

대상 | 내 용

기관 | 문책 및 자율처리필요사항 1건, 과태료 3,000만원 임직원 | 임원 : 문책 및 자율처리필요사항(주의) 1명, 퇴직자위법사실통보(주의수준) 2명 직원 : 자율처리필요사항 통보 [/표]

4. 조치대상사실

가. 문책 및 자율처리필요사항

(1) 전자금융거래 안전성 확보 및 내부통제 불철저

󰊱 ｢전자금융거래법｣ 제21조제2항 및 ｢전자금융감독규정｣ 제7조(이하 󰊲 내지 󰊴에서도 동일), 제15조제1항제5호에 의하면 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리해야 하는데도,

검사착수일 현재 정보처리시스템에 운영 목적으로 직접 접속하는 운영용 단말기 OO대와 개발 목적으로 직접 접속하는 개발용 단말기 OOO대를 외부통신망과 방화벽으로만 분리하였을 뿐 물리적으로 분리하지 않은 채 운영한 사실이 있음

󰊲 ｢전자금융감독규정｣ 제30조제1호에 의하면 금융회사는 안전하고 체계적인 일괄작업의 수행을 위하여 일괄작업은 작업요청서에 의한 책임자의 승인을 받은 후 수행해야 하는데도,

검사대상기간 동안 수행한 일괄작업 OOO건 중 OOO건의 작업을 회사 책임자 승인없이 외부주문업체 일괄작업 담당 직원이 직접 수행한 사실이 있음

󰊳 ｢전자금융감독규정｣ 제27조제1항 및 제2항에 의하면 전산원장의 변경 대상 및 방법, 변경 권한자 지정, 변경 전후내용 자동 기록 및 보존, 변경 내용의 정당여부에 대한 제3자 확인 등이 포함된 변경절차를 수립·운용해야 하고, 동 규정 제60조제1항제2호에 의하면 외부주문업체는 원장 등 중요 데이터 변경을 금지하고 있는데도,

검사대상기간 동안 전산원장 변경 내용의 정당성 여부에 대한 제3자 확인 등 변경절차를 수립･운영하지 않았고, 외부주문업체 개발담당 직원이 ‘장기보유보험금’ 전산원장 변경 등 총 OOO회의 원장 변경작업을 직접 수행한 사실이 있음

󰊴 ｢전자금융감독규정｣ 제29조제6호에 의하면 프로그램의 운영시스템 적용은 처리하는 정보의 기밀성·무결성·가용성을 고려하여 충분한 테스트 및 관련 책임자 승인 후 실시해야 하는데도,

2017.1.1.~2017.3.31.기간 동안 프로그램을 운영시스템에 적용하는 과정에서 회사 책임자가 승인하지 않고 외부주문업체 개발담당 직원이 직접 프로그램을 운영시스템에 적용한 사실이 있음