의결 제2025-470호

□ 기관에 대한 조치

○ 「전자금융거래법」상 '전자금융거래의 안전성 확보의무 위반’으로 과태료 5,000만원 부과

가. 지적사항

□ 기 관

1. 망분리 의무 위반 등 전자금융거래의 안전성 확보의무 위반

□「전자금융거래법」 제21조 제2항 및 舊「전자금융감독규정」 제7조, 제15조제1항 제5호에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 전산실 내 위치한 정보처리시스템과 해당 정보처리시스템의 운영, 개발, 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하는 등의 대책을 수립ㆍ운용하여야 하고

舊「전자금융감독규정시행세칙」 제2조의2에 의하면 규정 제23조의 비상대책에 따라 원격 접속이 필요한 경우에 한해 규정 제15조 제1항 제5호의 망분리 규정을 예외 적용하는 경우 금융회사가 자체 위험성 평가를 실시한 후 <별표 7>에서 정한 망분리 대체 정보보호통제를 적용하고 이를 정보보호위원회가 승인하여야 하는데도,

○㈜우리은행은 20xx.xx.xx.～20xx.xx.xx. 기간 중 ○○○○㈜로 하여금 정보처리시스템의 개발 목적으로 전산실 내에 위치한 정보처리시스템에 직접 접속하는 단말기(■대)를 이용하여 총 ■회에 걸쳐 외부통신망과 연결된 인터넷사이트에 접속하도록 허용하는 등 망분리 대책을 운용하지 아니한 사실이 있고,

○20xx.xx.xx.～20xx.xx.xx. 기간 중 정보처리시스템 개발 업무를 수행하는 ○○○○㈜가 ㈜우리은행의 비상대책에 따른 망분리 예외 적용대상에 해당하지 않는 '오류 확인’, '시스템 작업’ 등의 업무 수행을 위해 외부통신망에서 내부통신망의 정보처리시스템에 원격 접속(■회)하도록 허용하였으며, 외부통신망의 인터넷 단말기(총 ■대)에서 내부통신망의 보안정책을 관리하는 원격접속시스템에 직접 접속(■회)하도록 허용하는 등 망분리 대책을 운용하지 아니한 사실이 있음

(2) 통합단말 프로그램 통제 절차 위반

□ 「전자금융거래법」 제21조제2항 및 舊「전자금융감독규정」 제7조, 제29조에 의하면 금융회사는 프로그램 등록ㆍ변경ㆍ폐기하는 경우 그 내용의 정당성에 대해 제3자의 검증을 받는 등 프로그램 통제 절차를 수립ㆍ운용하여야 하는데도,

○㈜우리은행은 20xx.xx.xx.～20xx.xx.xx. IT업무 외부주문 업체(○○○○㈜)에 위탁하여 개발한 프로그램에 대하여 프로그램 등록ㆍ변경 시 그 내용의 정당성을 검토하는 제3자 검증절차 등 프로그램 통제 절차를 적정하게 수립ㆍ운용하지 아니한 결과, ㈜우리은행의 개발의뢰 범위에 포함되지 않은 프로그램 기능(전산원장 변경 기능)이 총 ■개의 통합단말 화면에 적용되어 있었음에도 이 사실을 발견하지 못하였고,

○동 외부주문 업체 직원(■명)이 20xx.xx.xx.～20xx.xx.xx. 기간 중 중요데이터에 해당하는 ㈜우리은행 고객 여신신청 및 심사정보가 저장된 전산원장을 총 ■회에 걸쳐 변경한 사실이 있음

나. 근거법규

□ 기관에 대한 조치
「전자금융거래법」 제21조 제2항, 제51조 제1항
「전자금융거래법시행령」 제33조 [별표3]
舊「전자금융감독규정」 제7조, 제15조 제1항 제5호, 제29조 제3호
舊「전자금융감독규정시행세칙」 제2조의2