에이스생명보험이 내부정보와 비밀번호 암호화 등을 미흡하게 관리해 금융감독원의 제재를 받았다.
금감원은 에이스생명이 비밀번호에 보안강도가 약한 암호화 알고리즘을 적용하고 내부정보 유출을 방지할 수 있도록 관련 사이트·기능 등을 차단하지 않는 등 문제가 있어 지난 8일 개선사항 4건, 경영유의 2건의 제재조치를 내렸다고 14일 밝혔다.
금감원의 경영유의·개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치다.
금감원은 에이스생명에 개선사항으로 미래창조과학부에서 권고하는 보안강도 이상의 암호화 알고리즘을 적용한 비밀번호를 사용할 것을 강조했다.
임직원이 사용하고 있는 노트북 PC 등에서는 내부정보 유출이 우려되는 사이트와 기능 등이 차단되도록 업무를 개선할 것을 요구했다.
에이스생명은 전산자료의 경우도 별도의 사용기간을 정하지 않고 단위별로 접근범위를 제한하지 않았는데 이에 금감원은 모든 전산자료에 대해 업무수행 관련성과 사용목적을 고려해 사용기간과 접근 단위 등을 한정해 접근권한을 부여하고, 사용내역에 대한 모니터링을 강화하는 등 관련 업무를 개선할 필요가 있다고 밝혔다.
데이터베이스 접근권한을 부여할 때도 업무목적 상 필요할 때만 별도의 승인절차를 거쳐 접근이 가능하도록 절차를 마련해야 한다고 설명했다.
아울러 금감원은 경영유의 사항으로 에이스생명이 IT부서에 대한 종합감사 실적이 없는 것과 자체감사자를 지정하지 않고 자체감사를 실시하지 않는 것을 지적했다. 따라서 정기적으로 IT부문 전반에 대한 종합감사를 실시하고 자체감사자를 지정해 자체감사 업무를 지속적으로 수행하는 등 IT감사 기능을 강화할 필요가 있다고 강조했다.
또 재해복구시스템이 구축돼 있지 않아 화재 등 재해발생 시 업무의 연속성 결여로 고객에게 불편을 초래할 수 있으므로 재해복구시스템의 구축 필요성을 검토해 필요시 해당 업무에 대한 재해복구시스템을 구축·운영할 필요가 있다고 지적했다.
