|
신용협동조합중앙회가 직원이 1만8465건의 개인신용정보를 업무 이외의 목적으로 누설한 사실을 확인하고도 피해 당사자와 금융감독원에 보고하지 않는 등 관련 규정을 위반해 기관경고를 포함해 과징금 28억7200만원과 과태료 1억1360만원 제재를 받았다.
신용정보전산시스템의 보안 대책을 제대로 갖추지 않은 점과 내부망과 외부망을 분리해야 하는 망분리 관련 해킹 방지대책을 위반한 사실도 드러났다.
또한 신협중앙회는 상환준비금을 운영하면서 신용협동조합법을 위반하기도 했다.
13일 금감원에 따르면 중소금융검사2국은 2019년 1월 신협중앙회 직원 A씨가 지역본부에서 근무하면서 수집한 개인신용정보(조합원명, 여신계좌번호, 여신취급액 등) 1만8465건을 B신협의 감사업무에 참고할 목적으로 60회에 걸쳐 이메일로 전송한 사실을 확인했다.
그 직원은 퇴직 이후 B신협의 감사로 이직할 예정이었다.
'신용정보의 이용 및 보호에 관한 법률'은 신용정보회사 등이 업무상 알게 된 타인의 신용정보 및 사생활 등 개인적 비밀을 업무 목적 외에 누설하거나 이용하는 것을 금지하고 있다.
금감원은 신협중앙회가 직원 A씨의 법률 위반 사실을 확인하고도 해당 신용정보 주체는 물론 금감원에 위반 사실을 알리지 않은 점도 확인했다.
신용정보법은 개인신용정보가 업무 이외 목적으로 누설됐음을 알게 된 때 지체 없이 해당 신용정보 주체에게 누설 사실을 통지하고, 1만명 이상의 신용정보가 누설됐음을 알게 된 때에는 금감원에 지체 없이 누설신고서를 제출하도록 하고 있다.
금감원 관계자는 "신협중앙회는 내부감사와 외부 법률검토를 통해 1만8465건의 개인신용정보 누설 사실을 확인하고도 누설 사실 통지는 물론 금감원에도 누설신고서를 제출하지 않았다"고 설명했다.
자체 법률검토에서도 법무법인 2개사는 누설 사고가 법률을 위반한 것이라고 판단했다.
신용정보전산시스템의 미비점도 확인됐다.
신용정보법과 관련 규정은 신용정보제공·이용자가 신용정보전산시스템의 안전 보호를 위해 기술적·물리적·관리적 보안대책을 수립·시행하도록 하고 있지만, 신협중앙회는 누출 사고가 있었던 당시부터 2021년 12월까지 이를 제대로 갖추지 않았다.
검사 결과 신협중앙회는 내부 업무용 단말기(PC)에 고객 및 임직원의 개인신용정보를 암호화하지 않고 평문으로 저장했고, 보관 중인 개인신용정보를 중앙회 그룹웨어 내 이메일을 통해 개별조합(외부법인)으로 전송하면서 사전 승인 절차를 마련하지 않아 관리책임자의 사전 승인도 이루어지지 않았다.
신용정보관리·보호인 역시 개인신용정보의 암호화, 외부 반출입통제 등 중앙회의 개인신용정보 처리실태와 관행에 대해 정기적인 조사·개선 및 내부통제 절차를 구축하지 못했다.
또한 중앙회 그룹웨어 내 이메일을 통해 전산 자료를 개별조합(외부 법인)으로 전송 시 관리책임자의 승인 또는 확인 절차도 거치지 않았다.
금감원 관계자는 "시스템 미비로 퇴직 예정이던 직원이 개인신용정보가 포함된 조합검사서, 민원 조사서 등을 업무 목적 외로 부당 유출하였는데도 이를 사전에 인지 또는 차단하지 못했다"고 지적했다.
전자금융거래법 등 관련 규정에 따라 내부망과 외부망을 분리해 해킹 방지에 대비해야 함에도 이를 제대로 지키지 않은 사실도 드러났다.
신협중앙회는 2019년 8월부터 2022년 4월까지 검사 대상 기간 중 업무상 편의를 위해 업무상 편의를 위해 전체 임직원 내부망 PC에서 36개 외부 인터넷 사이트로 접속할 수 있도록 허용하면서 위험성 평가 및 내부 정보보호위원회 승인을 받지 않았다.
비용 절감과 관리 편의성을 위해 내부와 외부망 작업도 서로 구분하지 않고 수행했다.
한편 금감원은 신협중앙회가 집합투자증권과 수익증권의 매입 규정을 어긴 점도 적발했다.
신용협동조합법은 상환준비금으로 집합투자증권 또는 수익증권을 매입하는 경우 상장주식 등의 편입 비율을 30% 이하인 것으로 제한하고 있다.
금감원 관계자는 "상환준비금으로 상장주식 등의 편입 비율이 40% 이하인 전문투자형 사모증권투자신탁과 전문투자형 사모증권투자신탁을 매입·보유했다"면서 "이 중 한 전문투자형 사모증권투자신탁은 상장주식 등의 편입 비율 한도 30%를 최고 1.57%포인트(P) 초과했다"고 설명했다.
금감원은 기관 제재 이외에 신용정보법, 전자금융거래법 등 관련 규정을 어긴 6명의 전·현직 직원에게는 면직, 정직, 견책, 감봉, 주의 등 제재를 결정했다.
임철영 기자 cylim@asiae.co.kr
<ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제 무단전재 배포금지> | 
등록안내
등록안내
