동양생명, 전자금융시설 취약점 평가 안해 과태료

금감원, 동양생명에 제재 조치 통보

전자금융기반시설 취약점 평가 미실시

취약점 평가 사후관리 미흡 지적도

CEO 승인 문서에 위험 수용 건수만

서울 종로구 동양생명 본사. 사진=동양생명

동양생명이 온라인보험 판매 등 전자금융거래에 따른 사고를 막기 위해 전자금융기반시설의 취약점을 분석하는 정례평가를 실시하지 않아 720만원의 과태료를 내게 됐다.

전자금융기반시설 취약점 평가 결과에 따른 위험 수용 처리와 관련해 최고경영자(CEO) 보고 문건이 부실하다는 지적도 받았다.

2일 금융당국에 따르면 금융감독원은 최근 동양생명에 이 같은 내용의 제재 조치를 통보했다.

동양생명은 2019년 전자금융기반시설에 대한 취약점 평가, 2019년 하반기 홈페이지에 대한 취약점 평가를 실시하지 않았다.

전자금융기반시설은 전자금융거래에 이용되는 정보처리 시스템 및 정보통신망이다. 전자금융거래를 구성하는 서버, 데이터베이스(DB), 네트워크 등이 이에 해당한다.

‘전자금융거래법’ 등에 따르면 금융사와 전자금융업자는 전자금융거래의 안정성과 신뢰성을 확보하기 위한 취약점 분석 및 평가를 전자금융기반시설은 사업연도마다 1회 이상, 홈페이지는 6개월에 1회 이상 실시해야 한다.

이와 관련해 금감원은 동양생명에 720만원의 과태료를 부과하고, 퇴직자 1명에게 주의 상당의 조치를 취했다.

동양생명은 전자금융기반시설 취약점 평가에 대한 사후관리가 미흡하다는 지적도 함께 받았다.

동양생명은 전자금융기반시설 취약점 평가에 따라 이행 계획을 수립하고 있으며, 취약점의 제거 또는 이에 상응하는 조치가 불가해 위험 수용 처리할 경우 CEO의 승인을 득하고 이행 계획의 시행 결과를 보고토록 하고 있다.

그러나 2018년 전자금융기반시설 취약점 평가 결과에 의해 위험 수용을 처리하기 위해 CEO에게 승인을 받는 문서에 위험 수용 건수만을 기재해 취약점의 상세 내용과 위험 수용 사유를 확인할 수 없었다.

또 2018년 전자금융기반시설, 2019년 상반기 홈페이지 취약점 평가 결과에 따른 이행 계획의 시행 결과를 CEO에게 보고하는 문서에 조치 완료 취약점 건수와 잔여 취약점 건수만 기재해 상세 내용과 조치 일정 등을 확인할 수 없었다.

이에 대해 금감원은 “취약점 관련 승인 및 보고 문서에 위험 수용, 조치 완료, 잔여 취약점에 대한 상세 내용을 포함하는 등 CEO가 관련 사항을 충분히 인지하고 승인 여부를 결정할 수 있도록 보고 내용을 개선하라”고 지시했다.