쿠팡㈜ 금감원 경영유의사항 · 2019-08-28

경영유의사항 등 공개안

1. 금융회사명 : 쿠팡(주)

2. 조치일 : 2019. 8. 28.

3. 조치내용

대상

내용

기 관

경영유의사항 1건, 개선사항 6건

4. 조치대상사실

가. 경영유의사항

(1) 경영건전성 유지방안 수립·이행 강화

2017년말 기준 자기자본과 미상환잔액 대비 자기자본 비율이 경영지도기준을 충족 하지 않아 경영개선계획을 금융감독원에 제출하였고, 동 계획에 따라 유상증자를 실시하여 2018년말 기준 자기자본과 미상환잔액 대비 자기자본 비율은 경영지도 기준을 충족하였으나,

2019.3월에 계획한 유상증자를 이행하지 않아 2019.3월말 기준(가결산) 자기자본과 미상환잔액 대비 자기자본 비율이 재차 경영지도기준을 충족하지 못하는 상황이며,

고정비용이 지속적으로 발생하여 경영건전성을 유지하기 위한 구체적인 경영개선 계획 수립이 필요함에도 경영개선계획 이행 보고 시 동 고정비용을 포함하지 아니하여 경영개선계획 이행을 통한 경영지도기준 충족여부를 파악하기 어려우므로

고정비용 등을 포함한 상세한 경영개선계획(유상증자 등)을 마련하고, 주기적으로 이행 실적을 금융감독원에 보고하는 등 경영지도기준을 준수하기 위한 경영건전성 유지방안 수립·이행을 철저히 하시기 바람

나. 개선사항

(1) 전산자료 암호화 키 관리 미흡

전자금융거래 제공시 이용하고 있는 결제 카드 토큰, 결제 계좌번호, 회원 비밀번호 등 중요정보에 대해 암호화를 적용하여 통신 및 저장하고 있으나

암호화 적용시 동일 암호 알고리즘, 동일 암호화 키로 암호화 처리를 하면서도 암호화 키에 대한 유효기간을 운영하지 않는 등 암호화 키 생명주기에 따른 관리 체계를 마련하지 않았고, 암호화 키에 대한 암호화를 실시하지 않는 등 암호화 키 관리가 다소 미흡하므로

암호화 키에 대해 유효기간을 설정하여 주기적으로 변경하고, 중앙 키(Master Key)를 마련하여 암호화 키를 암호화하는 등 암호화 키 관리 체계를 개선하시기 바람

(2) 정보처리시스템 성능관리 미흡

정보처리시스템의 장애예방을 위하여 모니터링 솔루션을 도입하여 정보처리시스템의 CPU, 네트워크 및 디스크 등 사용현황을 감시하고, 사용량이 특정 값 이상으로 상승하는 등 이상징후를 보이는 경우* 시스템 담당자에게 알려주도록 운영하고 있으나

* 예) 정보처리시스템의 CPU 사용률이 85%이상이 되는 경우 담당자에게 알림

전체 정보처리시스템의 성능·사용량 및 추이를 통합적으로 모니터링하여 대응할 수 있는 체계를 마련하지 아니하여 시스템 성능관리를 이상징후 알람에만 의존하고 있으며,

주1회 IT담당자와 현업 담당자의 업무협의 시 시스템 업그레이드 및 용량 확보에 대해 논의하고 있으나, 정보처리시스템 사용량 추이 등을 체계적으로 관리하지 아니하여 용량 확보가 필요한 시점을 적시에 판단하기 어려울 우려가 있으므로

정보처리시스템의 성능·사용량 및 추이를 통합적으로 모니터링하기 위한 통합 대시보드 등의 시스템을 마련하고, 정기적으로 인프라 성능 및 사용량 추이를 분 석하여 사전 관리하는 등 정보처리시스템의 성능관리 업무를 개선하시기 바람

(3) 정보처리시스템 접속 계정 비밀번호 관리 불합리

정보처리시스템 접속 단말기 및 서버접근통제시스템 로그인시 사용되는 계정은 윈도우즈 계정관리시스템(MS社의 Active Directory)과 연동하여 중앙 관리하고 있으나,

일부 임직원은 정보처리시스템 접속시 계정관리시스템과 연동하지 않고 정보처리 시스템 내에서 관리되는 로컬 계정을 사용하고 있으며, 계정관리시스템과 연동하지 않는 로컬 계정의 비밀번호 정책은 시스템관리자가 수동으로 적용하고 있어* 비밀번호 정책 적용이 누락될 우려가 있으므로

* 예) 시스템 담당자가 비밀번호 복잡도에 맞춰 90일 내에 비밀번호 변경

정보처리시스템 및 관련 단말기와 윈도우즈 계정관리시스템의 연동을 누락 없이 운영하고, 계정관리시스템과 연동하지 않는 로컬 계정은 삭제하는 등 비밀번호 관리를 개선하시기 바람

(4) 백업, 소산 및 비상대응훈련 등 업무연속성 불합리

① 업무연속성 확보를 위하여 시스템 별 프로그램, 환경설정정보, 데이터베이스 등을

백업하고, 그 중 데이터베이스 백업자료는 소산하여 보관하고 있으나

전자금융거래 관련 기록, 프로그램 및 환경설정정보 등에 대해서는 소산을 실시 하지 아니하여 재해 발생 시 고객 민원 처리 불가, 서비스 복구 지연 등 대고객 업무에 지장을 초래할 수 있으므로

전자금융거래 관련 기록, 프로그램 및 환경설정정보 등 중요 데이터가 재해 등으로 유실되지 않도록 소산을 실시하시기 바람

② 전자금융업무 업무연속성 계획서 에 따라 장애·재해 등 비상상황 발생시 신속한 대응 및 복구를 위한 비상대책을 마련하고, 연 1회 이상 비상대응 모의훈련을 실시하고 있으나,

비상대응 모의훈련 시 전자적 침해사고에 대한 대응훈련이나 특정 서비스만 복구하고 있어, 실제 훈련되지 않은 재해 상황 발생시 업무 연속성 확보가 어려울 수 있으므로

비상대응 모의훈련 시 다양한 재해 상황을 가정하여 훈련시나리오를 보완하여 훈련을 실시하는 등 비상상황 대응훈련 체계를 개선하시기 바람

(5) 고객 개인정보 유출 방지 대책 불합리

인터넷PC에서 이동식저장매체(USB 등)의 사용 및 인터넷을 통한 중요정보 유출을 방지하기 위해 정보유출방지시스템(DLP)을 도입하여 운영하고, 데이터베이스 및 서버 등에 직접 접속하는 단말에서 인터넷PC로 전산자료 전송시 망연계솔루션을 도입 하여 개인정보 전송 시 전송이력을 기록하고 과다 전송시 사전 차단하고 있으나,

정보유출방지시스템(DLP)에서 일부 개인정보에 대한 탐지를 적용하지 아니하였고, 망연계솔루션에서 개인정보 전송이 탐지되더라도 이에 대한 사후 소명 등 적절한 통제룰 수행하지 아니하고 있으므로

정보유출방지시스템(DLP) 및 망연계솔루션에서 개인정보 유출 탐지 수준을 강화하고, 개인정보 유출 여부에 대한 사후 소명 등의 통합 모니터링 정책을 적용하는 등 개인정보 유출 방지 대책을 개선하시기 바람

(6) 포인트 적립 처리절차 불합리

이벤트를 통해 포인트를 고객에게 적립해주는 경우 포인트 담당자가 대상 고객 및 포인트를 관리시스템에 입력하면 책임자가 이를 승인 후 포인트를 일괄 적립하고 있으나,

포인트 적립 처리과정에서 포인트 적립 한도를 제한하는 등 입력 값 검증 절차가 없어 담당자의 입력 실수 등에 의해 포인트가 과다 적립될 우려가 있으며,

책임자가 포인트 적립 대상 고객을 추출하여 직접 등록하는 자가승인 절차를 운영 하고 있어 포인트 적립 통제절차를 우회할 우려가 있으므로

포인트 적립 처리과정에서 건별, 이용자별 최대 포인트 적립 한도를 제한하는 등 시스템 입력 값에 대한 검증 절차를 강화하고, 자가승인 절차를 폐지하는 등 관련 통제절차를 개선하시기 바람