금융위원회
의결 제2024-424호
신용협동조합중앙회에 대한 수시검사 결과 조치안
주문
□ 기관에 대한 조치
○ 과징금 2,872백만원 부과
○ 과태료 113.6백만원 부과
○ 과징금 2,872백만원 부과
○ 과태료 113.6백만원 부과
이유
가. 지적사항
□ 개인신용정보 업무목적 외 누설
ㅇ 「신용정보법」 제42조 등에 의하면 신용정보회사등은 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무 목적 외에 누설하거나 이용하여서는 아니 되는데도
- 신용협동조합중앙회 직원 ○○○은 □□□□지역본부의 ◇◇◇◇◇으로 근무하면서 수집한 개인신용정보(xx,xxx건)가 포함된 문서(검사서 및 민원조사서 등 파일)를 퇴직 이후 상임감사로 이직할 예정이었던 □□□□신협의 감사업무에 참고할 목적으로 20xx.xx.xx. 및 xx.xx. 동 조합의 직원에게 그룹웨어 내 이메일로 전송(총 xx회)함으로써 개인신용정보를 업무 목적 외로 누설하였음
□ 신용정보전산시스템 안전보호 의무 위반 등에 따른 개인신용정보 유출
⑴ 신용정보전산시스템의 안전보호 의무 위반
ㅇ 「신용정보법」 제19조 및 「동법 시행령」 제16조 제1항 및 제2항, 「동 감독규정」 제20조 [별표 3]에 의하면 신용정보제공ㆍ이용자는 신용정보전산시스템의 안전보호를 위해 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하도록 정함에 따라
신용정보제공ㆍ이용자는 취급 중인 개인신용정보를 PC에 저장 시 이를 암호화하여야 하고, 개인신용정보취급자가 개인신용정보를 이메일 등의 방법으로 외부에 전송하는 경우 관리책임자의 사전 승인을 받아야 하며, 신용정보관리ㆍ보호인을 통하여 개인신용정보 처리 실태 등에 대하여 정기적인 조사ㆍ개선 및 개인정보 유출방지를 위한 내부통제시스템을 구축하여야 하는데도
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 기간 중 내부 업무용 단말기(PC)에 고객 및 임직원의 개인신용정보를 암호화하지 않고 평문으로 저장하였고,
- 보관 중인 개인신용정보를 중앙회 그룹웨어 내 이메일을 통해 개별조합(외부 법인)으로 전송하면서 사전 승인절차를 마련하지 않아 관리책임자의 사전 승인이 이루어지지 않았으며,
- 신용정보관리ㆍ보호인은 개인신용정보의 암호화 및 외부 반출입 통제 등 중앙회의 개인신용정보 처리실태 및 관행에 대하여 정기적인 조사ㆍ개선 및 내부통제절차를 구축하지 못하였음
- 이로 인해, 퇴직예정이던 직원이 개인신용정보가 포함된 조합검사서, 민원조사서 등을 업무목적외로 부당 유출하였는데도 중앙회는 이를 사전에 인지 또는 차단하지 못하였음
⑵ 전산자료 보호대책 수립ㆍ운용의무 위반
ㅇ 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호 및 제13조 제1항 제5호에 의하면, 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 반출ㆍ반입 통제를 포함한 전산자료 보호대책을 수립ㆍ운용하여야 하는데도,
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 기간 중 중앙회 그룹웨어 내 이메일을 통해 전산자료를 개별조합(외부 법인)으로 전송 시 관리책임자의 승인 또는 확인절차를 거치지 않는 등 통제대책을 미수립하여 중앙회 내부 검사서 및 민원서류 등 전산자료가 업무외 목적으로 유출되는 결과를 초래하였음
□ 전자금융거래 안전성 확보의무 위반(망분리 관련 해킹방지대책 위반)
ㅇ 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호, 제15조 제1항제3호, 「전자금융감독규정 시행세칙」 제2조의2제1항제1호 및 제3항에 의하면 금융회사는 내부통신망(내부망)과 연결된 내부 업무용시스템은 인터넷 등 외부통신망(외부망)과 분리ㆍ차단 및 접속을 금지하여야 하고, 업무상 필수적으로 외부기관과 연결해야 하는 경우 자체 위험성 평가 및 정보보호위원회 승인을 거쳐 특정 외부기관과 연결하여야 하며,
회사 전산실 내에 위치한 정보처리시스템과 동 시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기는 인터넷 등 외부망으로부터 물리적으로 분리하여야 하는데도,
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 검사대상기간 중 업무상 편의를 위해 전체 임직원 내부망 PC에서 □□□□□□ 등 xx개 외부 인터넷 사이트로 접속할 수 있도록 허용하면서 위험성 평가 및 내부 정보보호위원회 승인을 받지 않았음
또한, 비용절감 및 관리 편의성을 위해 전산실(내부망)과 외부망에 설치한 서버 등 정보처리시스템에서 내ㆍ외부망 작업을 서로 구분하지 않고 수행하였음
□ 개인신용정보 누설 통지 및 누설신고서 제출의무 위반
ㅇ 「신용정보법」 제39조의4 등에 의하면 신용정보회사등은 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보주체에게 개인신용정보 누설 사실을 통지하고, 1만명 이상의 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 금융감독원에 지체 없이 누설신고서를 제출해야 하는데도
- 신용협동조합중앙회(정보보호부문)는 내부감사(20xx.xx.xx.~xx.xx.) 및 외부 법률검토(20xx.xx.xx., xx.xx.) 등을 통해 □□□□지역본부의 前 ◇◇◇◇◇이 20xx.xx.xx. 및 xx.xx. 개인신용정보 xx,xxx건을 업무 목적 외로 누설한 사실을 확인하고서도
- 해당 신용정보주체 및 금융감독원에게 개인신용정보가 누설된 사실을 알릴 경우 신용협동조합중앙회에 피해가 발생할 것을 우려하여 해당 신용정보주체에게 지체 없이 누설 사실을 통지하지 아니하고, 금융감독원에 지체 없이 누설신고서를 제출하지 아니하였음
나. 근거법규
□ 기관에 대한 조치
1. 「신용정보의 이용 및 보호에 관한 법률」 제19조, 제39조의4, 제42조
2. 「신용정보의 이용 및 보호에 관한 법률 시행령」 제16조, 제34조의4
3. 「신용정보업감독규정」 제20조, [별표3]
4. 「전자금융거래법」 제21조
5. 「전자금융감독규정」 제7조, 제13조, 제15조
6. 「전자금융감독규정 시행세칙」 제2조의2 등
7. 「개인정보 보호법」 제34조
8. 개인정보보호위원회 「표준 개인정보 보호지침」 제26조, 제28조
□ 개인신용정보 업무목적 외 누설
ㅇ 「신용정보법」 제42조 등에 의하면 신용정보회사등은 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무 목적 외에 누설하거나 이용하여서는 아니 되는데도
- 신용협동조합중앙회 직원 ○○○은 □□□□지역본부의 ◇◇◇◇◇으로 근무하면서 수집한 개인신용정보(xx,xxx건)가 포함된 문서(검사서 및 민원조사서 등 파일)를 퇴직 이후 상임감사로 이직할 예정이었던 □□□□신협의 감사업무에 참고할 목적으로 20xx.xx.xx. 및 xx.xx. 동 조합의 직원에게 그룹웨어 내 이메일로 전송(총 xx회)함으로써 개인신용정보를 업무 목적 외로 누설하였음
□ 신용정보전산시스템 안전보호 의무 위반 등에 따른 개인신용정보 유출
⑴ 신용정보전산시스템의 안전보호 의무 위반
ㅇ 「신용정보법」 제19조 및 「동법 시행령」 제16조 제1항 및 제2항, 「동 감독규정」 제20조 [별표 3]에 의하면 신용정보제공ㆍ이용자는 신용정보전산시스템의 안전보호를 위해 기술적ㆍ물리적ㆍ관리적 보안대책을 수립ㆍ시행하도록 정함에 따라
신용정보제공ㆍ이용자는 취급 중인 개인신용정보를 PC에 저장 시 이를 암호화하여야 하고, 개인신용정보취급자가 개인신용정보를 이메일 등의 방법으로 외부에 전송하는 경우 관리책임자의 사전 승인을 받아야 하며, 신용정보관리ㆍ보호인을 통하여 개인신용정보 처리 실태 등에 대하여 정기적인 조사ㆍ개선 및 개인정보 유출방지를 위한 내부통제시스템을 구축하여야 하는데도
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 기간 중 내부 업무용 단말기(PC)에 고객 및 임직원의 개인신용정보를 암호화하지 않고 평문으로 저장하였고,
- 보관 중인 개인신용정보를 중앙회 그룹웨어 내 이메일을 통해 개별조합(외부 법인)으로 전송하면서 사전 승인절차를 마련하지 않아 관리책임자의 사전 승인이 이루어지지 않았으며,
- 신용정보관리ㆍ보호인은 개인신용정보의 암호화 및 외부 반출입 통제 등 중앙회의 개인신용정보 처리실태 및 관행에 대하여 정기적인 조사ㆍ개선 및 내부통제절차를 구축하지 못하였음
- 이로 인해, 퇴직예정이던 직원이 개인신용정보가 포함된 조합검사서, 민원조사서 등을 업무목적외로 부당 유출하였는데도 중앙회는 이를 사전에 인지 또는 차단하지 못하였음
⑵ 전산자료 보호대책 수립ㆍ운용의무 위반
ㅇ 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호 및 제13조 제1항 제5호에 의하면, 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 반출ㆍ반입 통제를 포함한 전산자료 보호대책을 수립ㆍ운용하여야 하는데도,
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 기간 중 중앙회 그룹웨어 내 이메일을 통해 전산자료를 개별조합(외부 법인)으로 전송 시 관리책임자의 승인 또는 확인절차를 거치지 않는 등 통제대책을 미수립하여 중앙회 내부 검사서 및 민원서류 등 전산자료가 업무외 목적으로 유출되는 결과를 초래하였음
□ 전자금융거래 안전성 확보의무 위반(망분리 관련 해킹방지대책 위반)
ㅇ 「전자금융거래법」 제21조, 「전자금융감독규정」 제7조 제3호, 제15조 제1항제3호, 「전자금융감독규정 시행세칙」 제2조의2제1항제1호 및 제3항에 의하면 금융회사는 내부통신망(내부망)과 연결된 내부 업무용시스템은 인터넷 등 외부통신망(외부망)과 분리ㆍ차단 및 접속을 금지하여야 하고, 업무상 필수적으로 외부기관과 연결해야 하는 경우 자체 위험성 평가 및 정보보호위원회 승인을 거쳐 특정 외부기관과 연결하여야 하며,
회사 전산실 내에 위치한 정보처리시스템과 동 시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기는 인터넷 등 외부망으로부터 물리적으로 분리하여야 하는데도,
- 신용협동조합중앙회는 20xx.xx.xx.∼20xx.xx.xx. 검사대상기간 중 업무상 편의를 위해 전체 임직원 내부망 PC에서 □□□□□□ 등 xx개 외부 인터넷 사이트로 접속할 수 있도록 허용하면서 위험성 평가 및 내부 정보보호위원회 승인을 받지 않았음
또한, 비용절감 및 관리 편의성을 위해 전산실(내부망)과 외부망에 설치한 서버 등 정보처리시스템에서 내ㆍ외부망 작업을 서로 구분하지 않고 수행하였음
□ 개인신용정보 누설 통지 및 누설신고서 제출의무 위반
ㅇ 「신용정보법」 제39조의4 등에 의하면 신용정보회사등은 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 지체 없이 해당 신용정보주체에게 개인신용정보 누설 사실을 통지하고, 1만명 이상의 개인신용정보가 업무 목적 외로 누설되었음을 알게 된 때에는 금융감독원에 지체 없이 누설신고서를 제출해야 하는데도
- 신용협동조합중앙회(정보보호부문)는 내부감사(20xx.xx.xx.~xx.xx.) 및 외부 법률검토(20xx.xx.xx., xx.xx.) 등을 통해 □□□□지역본부의 前 ◇◇◇◇◇이 20xx.xx.xx. 및 xx.xx. 개인신용정보 xx,xxx건을 업무 목적 외로 누설한 사실을 확인하고서도
- 해당 신용정보주체 및 금융감독원에게 개인신용정보가 누설된 사실을 알릴 경우 신용협동조합중앙회에 피해가 발생할 것을 우려하여 해당 신용정보주체에게 지체 없이 누설 사실을 통지하지 아니하고, 금융감독원에 지체 없이 누설신고서를 제출하지 아니하였음
나. 근거법규
□ 기관에 대한 조치
1. 「신용정보의 이용 및 보호에 관한 법률」 제19조, 제39조의4, 제42조
2. 「신용정보의 이용 및 보호에 관한 법률 시행령」 제16조, 제34조의4
3. 「신용정보업감독규정」 제20조, [별표3]
4. 「전자금융거래법」 제21조
5. 「전자금융감독규정」 제7조, 제13조, 제15조
6. 「전자금융감독규정 시행세칙」 제2조의2 등
7. 「개인정보 보호법」 제34조
8. 개인정보보호위원회 「표준 개인정보 보호지침」 제26조, 제28조
출처: 국가법령정보센터 금융위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).