보험개발원 금감원 제재공시 · 2018-09-18

[표]

제재내용 공개안

[/표]

1. 금융회사명 : 보험개발원(사)

2. 조치일 : 2018. 9. 18.

3. 조치내용

[표]

대상 | 내 용

기관 | 문책 및 자율처리필요사항 1건, 과태료 3,000만원 임직원 | 임원 : 주의 1명, 퇴직자위법사실통보(주의수준) 1명 직원 : 자율처리필요사항 통보 [/표]

4. 조치대상사실

가. 문책 및 자율처리필요사항

(1) 전자금융거래 안전성 확보 불철저

󰊱 ｢전자금융거래법｣ 제21조제2항, ｢전자금융감독규정｣ 제7조(이하 (2) 내지 (3)에서도 동일), 제15조제1항제5호 및 ｢전자금융감독규정시행세칙｣에 제2조의2에 의하면 전산실 내에 위치한 정보처리시스템은 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하고, 비상대책에 따라 원격 접속이 필요하여 예외적으로 망분리를 적용하지 않는 경우에는 자체 위험성 평가를 실시한 후 망분리 대체 정보보호통제를 적용하고 정보보호위원회의 승인을 받아야 함에도,

내부망에 위치한 SMS발송서버 등을 인터넷에 직접 연결하고 정보처리시스템 모니터링 서버 4대에 대해 인터넷 접속용 PC의 직접 접속을 허용하는 등 일부 정보처리시스템을 외부통신망으로부터 물리적으로 분리하지 않았으며,

예외적으로 원격 접속을 허용하면서 망분리 대체 정보보호통제를 적용하지 않고, 자체 위험성 평가 및 정보보호위원회 승인 등 망분리 예외적용을 위한 절차를 수행하지 않은 사실이 있음

󰊲 ｢전자금융감독규정｣ 제29조제1호, 제2호, 제4호, 제5호 및 제7호에 의하면 프로그램 등록‧변경‧폐기 방법을 마련하고, 프로그램 변경 전후 내용을 기록·관리하고, 변경 필요시 해당 프로그램을 개발 또는 테스트 시스템으로 복사 후 수정하여야 하고, 프로그램에 대한 접근은 업무담당자에 한정하며, 실행 프로그램의 생성 및 운영시스템 등록은 해당프로그램 담당자 이외의 자가 수행하여야 하는데도,

내규 ｢프로그램 개발지침｣을 마련하면서 프로그램 테스트 관련 절차만 정하고 프로그램 등록․변경․폐기 방법을 마련하지 않았고, 검사대상기간 중 일부 프로그램 개발 및 변경 건에 대한 내용을 기록․관리하지 않았고,

또한, 기초통계자료 관리시스템 등 ○개 시스템에 대해 프로그램 개발업무를 수행하면서 테스트 시스템 등을 마련하여 복사 후 수정하지 않고 직접 운영시스템에서 프로그램을 변경하였으며,

프로그램 업무담당자가 아닌 직원이 프로그램에 접근하는 것을 허용하고, 개발자가 자신이 개발한 프로그램 소스코드를 직접 실행프로그램으로 생성(컴파일)한 후 운영시스템에 등록한 사실이 있음

󰊳 ｢전자금융감독규정｣ 제30조제1호, 제4호에 의하면 일괄작업은 작업요청서에 의한 책임자 승인을 받은 후 수행하고, 모든 일괄작업의 작업내용을 기록․관리해야 하는데도,

검사대상 기간동안 보험정보망시스템 기초통계 관련 일괄작업을 수행하면서 책임자 승인을 받지 않고, 그 작업내용을 기록·관리하지 않은 사실이 있음