의결 제2025-467호

□ 기관에 대한 조치

○ 「전자금융거래법」상 '전자금융거래의 안전성 확보의무 위반’으로 과태료 4,000만원 부과

가. 지적사항

□ 기 관

1. 전자금융거래의 안전성 확보 의무 위반

(1) 전산자료 보호대책 수립ㆍ운용 위반

○ 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 단말기와 전산자료의 접근권한이 부여되는 정보처리시스템 관리자에 대하여 적절한 통제장치를 마련ㆍ운용하여야 하고, 정보처리시스템 관리자의 주요 업무 관련 행위는 책임자가 이중확인 및 모니터링을 하여야 하는데도
○ 회사는 20xx.xx.xx.∼20xx.xx.xx. 기간 중 계정계 데이터베이스 서버의 접근권한을 가진 정보처리시스템 관리자에 대하여, 고객 주문거래가 이루어지는 정규장 거래 시간 동안에는 운영 중인 서비스에 영향을 줄 수 있는 운영체제 명령어의 실행을 제한하는 등의 적절한 통제장치를 마련ㆍ운용하지 않았고

○ 동 서버 관리자가 20xx.xx.xx. xx:xx 정규장 개장 직후 정보처리시스템 간 네트워크 트래픽을 분석ㆍ저장하는 작업과 관련하여 책임자의 승인 및 모니터링 없이 명령어를 입력ㆍ실행함에 따라

-계정계 데이터베이스 서버에 과부하가 발생하여 주문ㆍ체결 및 이체업무 처리가 약 xxx분간(xx:xx~xx:xx) 지연됨으로써 약 ■백만원의 금융소비자 피해를 초래하였음

(2) 자체 보안성심의 결과보고 위반

○ 금융회사는 정보통신망을 이용한 신규 전자금융업무를 수행하는 경우 자체 보안성심의를 실시하고, 동 업무 수행일로부터 7일 이내에 보안성심의 결과보고서를 금융감독원에 제출하여야 하는데도,

○ 회사는 20xx.xx.xx.～20xx.xx.xx. 기간 중 ■건의 신규 전자금융업무를 수행하면서 자체 보안성심의는 실시하였으나, 보안성심의 결과보고서를 제출하지 아니하거나(■건) 보고기한을 도과(+x~x일)하여 지연제출(■건)한 사실이 있음

나. 근거법규

□ 기관에 대한 조치

ㅇ 「전자금융거래법」 제21조 제2항, 舊「전자금융감독규정」(2025.2.5. 개정 前의 것) 제7조 제3호ㆍ제4호, 제13조 제5항, 제36조 제2항