코리안리재보험주식회사 금감원 경영유의사항 · 2018-02-06

개선사항 공개안

1. 금융기관명 : 코리안리재보험㈜

2. 조치일 : 2018. 2. 6.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) IT부문 내부통제 프로세스 준수 필요

내규 정보기술업무관리기준 에서 IT부문 내부통제 프로세스를 마련하고 있으며

동 프로세스에 따라 시스템 전산자료 및 프로그램 관리업무를 수행하고 있으나

일부 현업부서에서 ○○○○, □□□□□, △△△△ 등과 관련된 시스템의 프로그램

관리 및 전산자료 변경 작업을 직접 수행하는 등 IT부문 내부통제 프로세스 이행상 다소 미흡한 사실이 있으므로

앞으로 내규에 내부통제 프로세스가 적용되는 범위를 명시하고 동 프로그램

관리 및 전산자료 변경 작업을 수행하는 경우에도 IT부문 내부통제 프로세스를 준수 하시기 바람

(2) IT부문 감사업무 운영 강화

감사팀은 매년 회사 업무 전반에 대한 감사 계획을 수립하여 감사를 실시하고

있으나,

검사대상기간 중 IT부서에 대한 종합감사는 2016년 1회만 실시하였고, 2014년과

2015년에는 IT부문 특별감사 계획을 수립하였으나 이를 실시하지 않는 등 IT부문 감사 실적이 저조하고

감사팀 내에 IT전문 감사인력이 없고 IT부문 감사 관련 편람이 마련되어 있지

않으며 IT부서에는 IT자체감사 내규, 자체감사자 지정 등 IT부서 자체감사 수행을 위한

체계가 마련되어 있지 않으므로

감사팀은 연간 감사계획 수립시 IT부문에 대한 감사계획을 반영하여 동 계획에

맞게 감사를 실시하고, 감사팀 내에 IT전문 감사인력 확보 및 IT감사업무 편람을 마련 하여 IT감사 업무의 전문성, 일관성, 구체성을 강화할 필요가 있는 등 IT자체감사를 수행하기 위한 체계를 마련하시기 바람

(3) 정보처리시스템 접근통제 미흡

정보처리시스템에 대한 접근 통제를 위해 접근제어솔루션을 도입하여 비인가자의

서버접근을 차단하고 있으나,

개발계, 정보계, 정보보호 시스템 등 ○○○대의 서버에 대해서는 접근제어솔루션을

적용하지 않아 추가인증 절차없이 아이디, 비밀번호만으로 접속이 가능하고, 접근제어 솔루션이 적용된 서버의 경우에도 특정 서버 사용자가 다른 서버에 접속할 경우에는 접근제어솔루션을 통하지 않고 우회 접속이 가능하도록 운영하고 있으므로

정보처리시스템의 안전한 관리를 위하여 운영체제 계정으로 로그인할 경우

아이디, 비밀번호 이외에 추가 인증 절차를 적용하고 개별 서버 접근시마다 접근제어 솔루션을 통하여 접속하도록 서버 접근 통제체계를 개선하시기 바람

(4) 정보처리시스템 보정작업 불철저

정보처리시스템에 대한 해킹 등의 전자적 침해행위에 대비하기 위하여 제조사가

제공하는 운영체제 보정(patch)사항을 확인하고 적용여부를 체계적으로 검토할 필요가 있으나,

검사착수일(2017.11.13.) 현재 윈도우 서버(○○대)에 대해서는 일부 보정작업을

주기적으로 수행하지 않았으며, 유닉스 서버 ○대는 기술지원이 종료된 운영체제를 사용하여 제조사로부터 서비스 업그레이드 및 보안패치 등 지원서비스를 지원받지 못하고 있어 신규 취약점을 이용한 해킹 등 외부 침해 행위에 적정하게 대응하기 어려울 수 있으므로

정보처리시스템의 운영체제 보정(patch)사항 필요성을 정기적으로 검토하여

적용여부를 결정하고, 기술지원이 종료된 운영체제는 업그레이드하거나 제조사와 기술 지원 연장 계약을 체결하는 등 정보처리시스템을 안전하게 운영하시기 바람