금감원, 내부통제 및 고객정보 관리·활용 규정 위반한 보험사 적발

[보안뉴스 김태형] 카드사와 시중은행의 고객정보 유출에 이어 보험사들도 고객정보를 부실하게 관리하고 있는 것으로 드러났다.

특히 보험사는 고객의 주민번호, 전화번호 등의 정보뿐만 아니라, 아주 민감한 질병이나 사고 내역까지 포함되어 있어 외부로 유출된다면 금융사 고객정보 유출 보다 더 심각한 2차 피해로 이어질 수 있기 때문에 충격이 크다.

이러한 이유는 자동차 보험 만기가 다가오면 여러 자동차 보험사에서 자사에 가입하라는 영업 전화로 골치가 아픈데 대부분의 보험사가 고객정보를 공유해 자유롭게 영업 활동을 하는 것이 관행이기 때문.

금융감독원은 최근 보험사 푸르덴셜생명을 검사하는 과정에서 외부인에게 사내 전산망 조회가 가능한 권한을 부여해 개인신용정보를 열람하도록 한 사실을 적발했다. 푸르덴셜생명은 지난 2012년 1월 12일~8월 22일에 외부 감사자에게 사내 전산망 조회 권한을 부여하는 방식으로 고객의 동의를 받지 않고 51명의 개인신용정보가 담긴 전산화면을 총 66회 제공한 것으로 드러났다.

금감원은 지난해 보험정보 현황을 검사한 결과, 승인 범위를 초과하거나 부주의하게 보험 정보를 관리·활용한 보험개발원, 생명보험협회와 손해보험협회에 기관주의 조치를 했다. 특히 개인보험 정보를 가장 많이 가진 보험개발원의 기강 해이와 보안 불감증은 아주 심각해, 금감원은 보험개발원에 기관주의 조치 외에 직원 7명에게도 주의 조치를 했다.

보험사들은 지난 2009년 4월부터 지난해 3월까지 텔레마케팅에 활용하기 위해 제휴업체 회원의 보험 계약과 사고 관련 정보 2천422만건에 대한 일괄 조회 요청을 했는데, 보험개발원은 이를 허용했다.

이 과정에서 해당 제휴업체가 신용정보법에 정한 방식으로 동의를 받았는지에 대한 확인을 소홀히 해, 승인 대상이 아닌 423만건의 보험계약정보를 보험사가 일괄 조회할 수 있도록 허용했던 것이다.

보험개발원은 보험정보망 이용자의 아이디와 비밀번호를 직접 부여하지 않고 보험사에 이용자 아이디와 비밀번호를 부여해 보험정보망에 직접 등록하게 하는 등, 이용자 관리를 소홀히 했다. 이로 인해 보험대리점 등이 보험계약의 세부 내용과 교통사고원인 등 민감한 개인정보를 수시로 조회할 수 있도록 했다.

또한 손해보험협회는 2010년 10월부터 가계성 정액담보조회시스템을 운영하면서 위험등급, 직업·직종, 모집자 정보 등 10종의 보험계약정보를 금융위의 승인을 받지 않고 활용하다가 발각됐으며 생명보험협회는 금융위원회로부터 승인받은 보험정보만 관리해야 하는 규정을 어기고 2007년 7월부터 지난해 1월까지 보험계약정보관리시스템(KLICS)에 진단 정보 66종 등, 125종의 보험정보를 추가로 집중 관리·활용하다가 금감원에 적발됐다.

이 외에도 삼성화재는 2009년 3월부터 2012년 9월까지 접속 시 공인인증서 등 별도 인증수단 없이 아이디와 비밀번호만으로 접속할 수 있도록 해, 퇴직 직원이 재직 직원의 아이디와 비밀번호를 도용해 4천293회나 고객 정보를 조회하기도 했으며 PCA생명, 신한생명 등은 각각 정보처리시스템 보안대책 이행 불철저와 공개용 웹서버 사용자 추가 인증수단 미적용 등이 확인됐다.

이 밖에도 우리아비바생명과 농협손해보험은 지난해 3월 사이버테러 당시, 장시간 업무가 마비된 것으로 드러나, 금감원은 이들에 대해 시스템 내부통제와 미흡한 보안사고 대응을 지적했다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>