DB금융투자주식회사 금감원 경영유의사항 · 2018-06-27

경영유의사항 등 공개안

1. 금융기관명 : DB금융투자㈜

2. 조치일 : 2018. 6. 27.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 재해복구용 핵심업무 선정 절차 관리 강화

업무지속성을 확보하기 위해 업무별 중요도를 분석하여 핵심업무를 선정하는 경우 관계 부서간 협의 등을 통해 전사적 관점에서 판단해야 하는데도

회사는 ‘재해복구(DR) 적용 대상 업무’를 재지정하면서 실제 업무를 수행하는 현업 부서의 참여 없이 IT부서의 검토만으로 핵심업무를 선정한 사실이 있으므로

IT부서와 현업부서 간 협의절차를 포함하여 전사 차원의 업무영향 분석과 중요도 분석을 실시한 후 핵심업무를 재선정할 필요

나. 개선사항

(1) IT부서 대상 종합감사 실시 불합리

내규 감사위원회 직무규정 에 따라 기능별 종합감사를 통해 기능별 프로세스의

유효성 평가 등을 실시해야 하나

IT부문 종합감사 실시주기를 정하지 않고, 검사대상기간 중 IT부서를 대상으로

종합감사를 실시하지 않는 등 IT부문에 대한 감사실적이 미흡하므로

앞으로 내규에 IT부문 종합감사의 실시주기를 반영하는 등 관련 절차를 개선하고 감사를 정기적으로 실시할 필요

(2) IT업무 관련 내규 관리 미흡

회사는 IT업무 관련 내규로 IT경영규정 등 5개의 규정을 운영하고 있으나

정보보호위원회 구성, 정보보호최고책임자 지정 등의 IT업무 관련 주요사항을 내규가 아닌 ‘업무절차서’에서만 기술하고 있어 동 업무에 대한 운영이 소홀해질 우려가 있으므로

전자금융감독규정 등 관련 규정, 업무절차서 내용을 재검토하여 IT업무 관련 주요 사항이 내규에 포함될 수 있도록 개선할 필요

(3) 외부업체 직원에 대한 통제절차 미흡

회사는 프로그램 개발·운영 및 서버, 네트워크, 데이터베이스, 보안시스템 등의 인프라 운영업무를 외주업체(OOOOOO㈜)에 위탁하고 외주업체 운영인력에게 개발·운영서버에 대한 접근 및 운영권한을 부여하고 있으며

외주업체 직원이 전산작업 수행하는 경우 전산요청서를 작성하여 회사 내부 책임자가 사전승인을 하고, 외주업체의 데이터베이스관리자(DBA)가 실제 수행한 명령어 기록 등 작업내역을 내부 보안담당자가 매일 점검하고 있으나

외주업체 직원별 수행업무가 문서 등으로 기록 관리되고 있지 않아 서버 및 DB에 접근권한 등을 부여하는 회사의 내부 담당자는 각 직원별로 수행업무에 적합한 권한을 보유하고 있는 지 점검하기 어렵고

프로그램 개발·운영 및 서버, 네트워크, 보안시스템의 인프라 운영업무를 위해 각 운영관리자가 실제 수행한 명령어 기록 등 작업내역의 적정성에 대하여 사후점검을 하지 않고 있으므로

외주업체 직원별 수행업무에 대한 직무기술서를 작성·관리하며, 외주업체 인력에게 운영권한을 부여한 업무에 대하여 작업내역의 적정성을 확인하는 사후점검 절차를 수립하고 관련 지침·절차 등을 보완하는 등 통제절차를 개선할 필요

(4) 기술지원이 종료된 운영체제에 대한 관리 미흡

프로젝트 관리, 정보계 등 일부 시스템에서 공급업체의 기술지원이 종료된 운영체제를 사용하고 있어 취약점 보완 및 기능개선 등의 보정작업이 어려워 신규 취약점에 노출될 우려가 있으므로

기술지원이 종료된 시스템 운영체제에 대한 구체적인 전환추진 계획 및 이행일정을 수립하여 신규 취약점에 대한 노출을 최소화할 필요

(5) IT사업에 대한 감리 절차 불합리

회사는 정보처리시스템의 안전성 및 신뢰성 확보를 위해 개발 사업비가 OO억원을 초과하는 사업 또는 IT담당 임원이 인정하는 경우 IT감리를 실시하도록 내규를 마련 하고 있으나

검사대상기간 중 총 OO건의 정보처리시스템 개발 프로젝트를 수행하면서 IT감리를 수행한 실적이 없으므로

IT감리 대상이 되는 개발 사업비 기준을 하향 조정하는 등 사업의 특성 및 규모를 감안하여 실효성 있는 감리대상 기준을 마련할 필요