우리금융지주 반기보고서 (2022.06)
3. 연결재무제표 주석

사. 고객정보 유출과 관련된 위험

우리금융지주의 모든 그룹사는 고객 개인정보 관련 법규를 엄격히 준수하고, 개인(신용)정보보호를 위해 최선의 노력을 다하고 있으며, 각 그룹사의 고객정보 보호에 관한 사항은 다음과 같습니다.

[우리은행]

당행은 2018년 6월 정보보호 조직을 단에서 그룹으로 승격하고, 임원인 정보보호그룹장이 정보보호최고책임자(CISO)와 개인정보보호책임자(CPO) 업무를 맡아, 고객(신용)정보보호 전담 조직을 통합 관리하고 있습니다. 또한 「전자금융감독규정」에서 권고하는 규모 이상의 인력 및 예산을 편성하여 집행하고 정보보호 유출 방지를 위해 화이트해커 및 보안관제 전문인력 등을 운용하고 있습니다.

「개인정보보호법」, 「신용정보보호법」, 「전자금융거래법」 등 관련 법규를 엄격히 준수하고 있으며, 준수 여부를 정기적으로 점검하고 있습니다.

고객정보를 안전하게 보호하기 위하여 PC보안, 문서 암호화, 내·외부 네트워크 망분리, 지능형 지속공격(APT) 대응시스템 등을 구축하여 운영하고 있으며 서버·DB 접근시에는 OTP 및 생체인증 등 추가 인증체계 적용을 통해 비인가자의 접근을 통제하고 있습니다. 전산센터에는 X-Ray검색대, 금속탐지기를 설치하여 휴대용 저장매체 및 전산기기 반출입을 통제하고 있으며 PC 반출 시 포맷을 의무화하여 정보유출 및 보안사고를 예방하고 있습니다.

정보보호 인식 제고를 위하여 전 임직원 대상 정보보호교육과 캠페인을 실시하고, 정기적으로 자가 보안진단을 실시하는 등 정보보호 활동에 힘쓰고 있습니다.

고객의 개인신용정보는 법에서 요구하는 최소한의 정보만을 수집하고 암호화하여 보관하고 있으며 이용목적이 달성된 고객정보는 파기하는 등 법규에 따라 안전하게 관리하고 있습니다. 고객정보를 위탁하는 경우 수탁자의 고객정보 처리 실태를 정기적으로 점검하여 개인신용정보가 유출, 변조, 훼손되지 않도록 관리·감독하고 있습니다.

과학기술정보통신부가 고시한 기준에 따라 금융보안원으로부터 국가공인 정보보호 및 개인정보보호인증 「ISMS-P」과 국제표준화기구로부터 정보보호 및 개인정보보호인증 「ISO27001」, 「ISO27701」을 취득하였으며, 이를 통하여 정보보호 및 개인정보보호에 관한 정책과 인력, 장비, 시설에 대한 검증을 받았습니다.

위와 같은 노력에도 불구하고 향후 개인정보 유출 시 당행에 재무적, 비재무적인 중대한 영향을 미칠 수 있는 잠재적인 위험요인이 상존하고 있음을 유념하시기 바랍니다.

금융회사의 고객정보보호의 중요성이 날로 커지고 있는 가운데 앞으로도 우리은행은 고객정보가 철저하게 보호되어 고객이 신뢰할 수 있는 은행이 되도록 최선의 노력을 다할 것입니다.

[우리카드]

우리카드는 고객정보보호를 위한 관리적·기술적 보안을 강화하여 고객정보 유출방지에 만전을 기하고 있습니다.

고객정보 조회의 오남용 방지를 위해 담당 업무 수행에 필요한 최소한의 고객정보 접근 권한을 부여하고, 고객정보 관리실태 점검 및 정기적인 모니터링 실시 등 사후점검을 강화하고 있으며, 전 임직원에 대한 정보보호 교육을 실시하고 있습니다. 또한 당사 위탁업체의 개인정보 처리 실태를 정기적으로 점검하고 수탁업체 담당자 교육을 실시하고 있습니다.

고객정보유출방지시스템(DLP)을 구축하여 불필요한 개인정보파일 보유를 금지, 불가피한 경우에 한해 소속장 승인 시 보관할 수 있으며, 승인받지 않은 개인정보 파일은 주기적으로 강제 삭제하고 있습니다. USB 등 외부 저장매체 사용 통제, PC에서 출력되는 고객정보는 마스킹(*) 처리하여 식별 불가능토록 하고, 워터마킹을 통한 출력 실명제를 실시 중이며, 개인정보안전성 제고 및 법규 준수를 위해 전체 개인정보처리시스템의 DB 및 File 내 개인정보 암호화를 수행하였습니다. 인터넷 망분리를 통해 외부 해킹 및 고객정보 유출로부터 안전한 업무환경을 구축·운영 중이며, 이상금융거래 탐지시스템(FDS:Fraud Detection System)을 도입하여 최근 증가하고 있는 사이버금융사기 피해로부터 고객자산을 보호하고 있는 등 최선의 노력을 다하고 있습니다.

또한 금융보안원으로부터 국가공인 정보보호 및 개인정보보호인증 「ISMS-P」와 국제카드사 보안 표준 위원회로부터 글로벌 데이터 보안 인증인 「PCI-DSS」를 취득하였으며, 이를 통하여 정보보호 및 개인정보보호에 관한 관리적·기술적 정보보호 현황에 대한 검증을 받았습니다.

그럼에도 불구하고 악의적 유출 시도 등 재무적·비재무적으로 중대한 영향을 끼칠 수 있는 잠재적인 위험요인이 상존하고 있기 때문에 당사는 고객정보가 철저하게 보호되어 고객이 믿고 거래할 수 있는 믿음 주는 카드사가 되도록 최선의 노력을 다할 것입니다.

[우리금융캐피탈]

당사는 할부금융 및 리스 사업을 영위하는 금융회사로 불가피하게 사업을 위해 다량의 개인정보를 수집 및 보유하고 있습니다. 최근 금융회사의 사고 발생 사례를 보면, 정보보안 사고는 감독 당국의 제제 및 민형사상 법적 책임으로 이어질 가능성이 높아 사업에 치명적인 위협이 될 수 있습니다. 당사는 이러한 위험을 충분히 인지하고 있으며, 이러한 사태 발생을 사전에 예방하고자 최선의 노력을 다하고 있습니다.

당사에서는 현재까지 해킹 등 유출사고가 발생하지 아니하였고, ‘개인정보보호법’, ‘개인정보보호규정’, ‘정보보안규정’ 및 관련 시행문을 통해 전 임직원이 내부통제기준을 준수하고 있습니다. 또한, 하기와 같은 개인정보보호시스템을 활용하여 보유정보의 안전성 및 적정성을 확보하고 있습니다.

- 고객정보 및 신용정보에 대한 데이터 암호화

- 고객정보 포함 문서의 출력 제한- 모든 문서에 대한 문서암호화 적용

- 각종 네트워크 보안 시스템(DDOS, IPS, 웹방화벽 등) 구축 및 운영

- 고객정보 DB에 대한 접근 제어 및 권한 관리를 통한 DB 접근 통제

- 고객정보 외부 유출 방지를 위해 USB 등 저장매체 저장 금지 시스템 구축

- 전자적 침해사고 예방을 위한 24시간 365일 보안 활동 수행

[우리종합금융]

우리종합금융은 고객정보보호의 중요성을 깊이 인식하고 「개인정보보호법」, 「신용정보보호법」, 「전자금융거래법」을 비롯한 관련 법률상의 개인정보 안전성 확보를 위한 기술적, 물리적, 관리적 조치에 관한 사항을 다음과 같이 이행하고 있습니다.

현재 우리종합금융은 내부정보 유출방지를 위해 물리적 망분리를 실시하고 있으며 고객정보 유출방지시스템(DLP)을 구축하여 불필요한 개인정보파일 보유를 금지하고 있고, 전산자료 반출의 경우, 휴대용 저장장치를 통제하고 외부 메일 발송 시 승인을 거치는 등 절차를 강화하고 문서파일을 암호화하여 유출 시에도 제3자의 불법적인 열람을 차단하고 있습니다. 출력물을 통한 고객정보 유출 방지를 위해 PC에서 출력되는 고객정보는 마스킹(*) 처리하여 식별 불가능하도록 하였고, 워터마킹을 통한 「출력물 실명제」를 실시 중에 있습니다.

또한, 전 임직원을 대상으로 정보보안 점검의 날을 지정하여 내PC지키미 프로그램으로 사용자PC 보안점검 및 테마 점검을 매월 1회 실시하고 있으며 지능형위협방지(APT) 공격에 대비한 모의훈련 및 침해사고 대응훈련을 통하여 정보보호 인식수준을 향상시키기 위한 훈련을 수행하고 있습니다. 정보보호 인식제고 및 역량강화를 위해 보안 교육 또한 매년 1회 시행하고 있습니다. 앞으로도 우리종합금융은 고객정보가 철저하게 보호되어 고객이 믿고 거래할 수 있도록 최선의 노력을 다하겠습니다.

[우리자산신탁]

우리자산신탁은 내부정보 유출방지를 위해 고객정보유출방지시스템(DLP)를 구축하여 불필요한 개인정보파일 보유를 금지하고 있으며, DB접근제어 시스템으로 직원이 고객님의 소중한 정보에 직접 접근하지 못하도록 통제하고 있습니다. 또한 외부저장매체에 대한 유출에 대비 USB 및 휴대폰에 자료 이동을 금지하는 정책을 수립하여 운영중입니다. 주민번호의 경우 SHA-256 인증을 받은 암호화 기술을 적용하여 뒷자리는 ‘*’ 표시하여 운영중이며 외부로 나가는 문서들은 자체적으로 마스킹처리하여 업무하고 있습니다. 문서의 경우 DRM을 통해 내부통제하고 있습니다.

우리자산신탁은 그룹고객정보 제공 및 이용규정을 제정하여 그룹사간 고객의 정보 제공·이용에 관해 책임자가 통제하고 있으며 분기별 지주사에 보고하고 있습니다. 또한 개인정보관리 규정, 고객정보관리 규정을 제정하여 고객의 정보에 대한 수집, 삭제, 파기 등에 대한 절차를 세워 상시 대비하고 있습니다.

그러나 위와 같은 관리에도 불구하고 고객의 정보에 대한 유출시도 및 해킹은 지속적으로 전망될 것으로 전망되어, 앞으로도 임직원의 내부정보 보호 강화 및 외부공격에 지속적으로 대비하여 고객이 믿고 거래할 수 있는 종합부동산 금융회사가 될 수 있도록 최선의 노력을 다하겠습니다.

[우리금융저축은행]

우리금융저축은행은 임직원 모두가 고객정보의 안전한 보호를 최우선으로 인식하고 「개인정보보호법」, 「신용정보보호법」, 「전자금융거래법」을 비롯한 관련 법률을 준수하고 있습니다.법률의 준수를 위해 법률상의 개인정보 안전성 확보를 위한 기술적, 물리적, 관리적 조치에 관한 사항을 다음과 같이 이행하고 있습니다

/물리적 조치>

외부의 침입이 불가능하도록 외부망과 내부망을 분리하여 운영하고 있으며 취득한 고객의 주요 정보는 암호화하여 보관하고 있습니다. 고객정보의 유출방지를 위해 PC보안, 문서암호화, 정보유출방지를 도입하여 운영하고 있습니다. 또한 당행의 주요 장비를 분리하여 운영하고 인가된 사용자만 주요장비와 고객 데이타베이스에 접근할 수 있도록 통제함으로써 유출위험을 최소화하고 있습니다

업무수행에 반드시 필요한 최소한의 고객정보에만 접근할 수 있도록 접근권한을 차등으로 부여하고 정기적으로 고객정보, 신용정보 이용에 대한 모니터링을 실시해 고객정보 오남용을 방지하고 있습니다. 아울러 당행의 고객정보를 수탁하는 업체의 개인정보 관리실태를 정기적으로 점검하고 담당자에 대한 교육을 실시하는 한편 全 임직원에 대해서도 정보보호 교육을 실시, 정보보호의 중요성, 인식의 제고등을 통해 고객정보의 안전한 보호에 만전을 기하고 있습니다. 앞으로도 당행은 고객의 정보가 철저하게 보호될 수 있도록 최선의 노력을 다하겠습니다. [우리자산운용] 당사는 별도의 고객정보를 수집하고 있지 않으나, 「정보기술 및 정보보호 관리 규정」과 「개인정보 보호지침」에 따라 개인정보 보호에 필요한 내용을 내규화하고 있으며, 연 1회 개인정보 운영 점검 및 매월 정보보호의 날을 통해 개인정보 보호, 정보보호 전반에 대하여 점검을 실시하고 있습니다. [우리금융에프앤아이] 우리금융에프앤아이는 NPL(부실채권)을 공개경쟁입찰 등을 통해 매수 후 부동산 처분 등으로 채권을 회수하여 수익을 창출하는 사업을 영위하고 있습니다. 이와 같은 당사의 업종 특성상 입찰을 통해 확보한 차주의 개인정보보호에 더욱 중점을 둔 관리 정책을 실시하고 있습니다. 개인정보의 철저한 보호를 위하여 「개인정보보호법」, 「신용정보보호법」 등 관련 법규 준수를 위해 개인정보보호규정 등 내규를 마련하여 운용중이며, 나아가 PC보안정책 강화, 문서 암호화(마스킹, 워터마크 처리), 업무용 인터넷망 분리(내·외부망), USB 매체 이용 통제 등 물리적·기술적 보안정책을 실시하고 있습니다. 또한 당사 개인정보보호규정에 근거하여 개인정보보호책임자 지정, 매년 全임직원 개인정보보호 교육 시행, 全임직원 정보보안서약서 징구, 당사 개인정보 위탁업체에 대해 ‘개인(신용)정보 위탁(제공) 보안관리 약정서’ 징구 및 정기적인 모니터링을 시행하는 등 강도 높은 보안정책을 실시하고 있습니다. 앞으로도 우리금융에프앤아이는 날로 심화되는 개인정보 해킹 및 유출 사고를 방지하기 위하여 당사 개인정보 보호 관련 정책을 고도화 및 다양화시켜 나갈 계획이며, 지속적인 개인정보보호 임직원 캠페인 및 교육 등을 시행하여 고객이 신뢰할 수 있는 NPL 투자전문회사가 되도록 하겠습니다. [우리에프아이에스] 기술적 조치로 시스템 접속 시 DB접근제어 및 인프라계정관리시스템 등 시스템보안 솔루션을 적용하여 인가된 사용자에 한해 업무 수행에 필요 최소한의 권한을 차등 부여하고 기본인증(ID/PW) 外 추가인증(OTP 및 홍채 등)을 포함한 2채널(Two-Factor) 인증 절차를 구현하여 엄격한 접근통제와 권한관리를 실시하고 있습니다. 방화벽 등 네트워크 보안 솔루션을 통해 외부 인터넷 구간과 내부 업무망을 분리하고 APT 솔루션 및 AI기반 통합보안관제시스템 등을 이용하여 악성코드 내부유입 등을 실시간 감지, 선제적으로 차단하여 내부 업무망을 안전하게 보호하고 있습니다. 개인정보취급자의 안전한 정보처리를 위해 PC보안, 백신, 네트워크접근통제 등 사용자 보안 솔루션 적용하여 내부자 정보유출 통제 등 안전한 정보처리 환경을 제공하고 있습니다. 관리적 조치로 사용자, 인프라, 어플리케이션, 암호화, 보안사고대응 각 부문별 보안 프로세스를 제정 준수하고 있습니다. ISMS-P 및 ISO27001 등 국내외 표준 정보보호관리체계 인증심사를 통한 정기적인 내부 보안관리체계 수준진단으로 안전한 고객정보 보호체계를 유지하고 있습니다. 물리적 조치로 안면인식 출입통제시스템, X-Ray 검색기, 영상감시시스템 및 반출입 관리시스템 등 전자적 보호조치와 청경 등 인적 보호조치를 복합적으로 적용하고 주기적인 적정성 점검 또한 실시하여 고객정보보호에 만전을 기하고 있습니다.