신한카드㈜ 금감원 경영유의사항 · 2020-11-26

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 신한카드(주)

2. 조치일 : 2020.11.26.

3. 조치내용

대상

내용

기관

경영유의 12건, 개선 19건

대상

내용

기관

경영유의 12건, 개선 19건

4. 조치대상사실

가. 경영유의사항

(1) 자사 명의 법인카드 관리 등에 대한 내부통제 강화

신한카드㈜는 前직원 ◌◌◌가 자사 명의 법인카드를 무단사용 하였음에도 장기간 이를 인지하지 못하여 손실이 발생하는 등 자사 명의 법인카드에 대한 적절한 관리 및 통제가 이루어지지 않은 사실이 있으므로 앞으로 유사 사고가 재발하지 않도록 다음과 같이 자사 명의 법인카드에 대한 내부통제 절차를 강화하여 운영할 필요가 있음 ∙ 신규 자사 명의 법인카드 발급 즉시 전산시스템에 등록하고 주기적으로 미등록 카드 보유여부를 확인하여 사용중지토록 하는 등 관련 업무절차 및 전산시스템 개선 ∙ 자사 명의 법인카드 사용 금액은 배정예산 내 경비 대체방식으로만 결제 가능토록 제한 ∙ 자사 명의 법인카드 사용에 따른 적립 포인트 관리기준 마련·운영 ∙ 자사 명의 법인카드 한도 변경시 책임자 결재 절차 마련 등

(2) 신규 마케팅 서비스 도입·운영 관리 강화

신한카드㈜는 고객에게 맞춤형 할인쿠폰 등을 제공하는 ▷▷▷서비스를 출시·운영하면서 고객이 동 서비스를 이용할 경우 동 서비스 혜택보다 기존 부가서비스 혜택이 더 큰 일부 고객의 혜택수준이 이전보다 축소될 우려가 있었는데도, 이에 대한 사전 검토 및 대응방안 마련 등을 소홀히 하는 등 신규 마케팅 서비스 출시·운영 과정에 미흡한 점이 있으므로 앞으로 신규 마케팅 서비스 등을 출시하는 경우에는 고객의 혜택에 부정적인 영향을 미칠 가능성에 대해 면밀히 검토하고 대응방안을 마련하는 등 신규 마케팅 서비스의 출시·운영에 보다 철저한 관리가 요망됨

(3) 유료 부가상품 판매대행 절차 등 보완 필요

신한카드㈜는 외부 공급업체가 출시한 □□□서비스, ▶▶▶▶▶서비스 등 유료 부가상품을 전화마케팅 등을 통해 판매대행하면서 동 상품의 무료 이용기간이 종료되면 익월 이용료가 선불 결제방식으로 청구된다는 사실을 무료 이용기간 종료전에 고객에게 별도로 안내하지 않는 등 상품설명이 불충분하고, 동 상품을 해지한 고객에 대한 이용료 환급 방식이 고객에게 불리하게 운영하고 있으므로 앞으로 유료 부가상품을 판매하는 경우에는 고객이 상품 관련 중요사항을 명확하게 인지할 수 있도록 상품설명 내용을 보완하고, 무료 이용기간 종료 전에 종료일자, 월 이용료 및 청구방식 등을 상세히 안내하는 절차를 마련하는 한편, 상품 해지 고객에 대한 이용료 환급 방식을 보완할 것이 요망됨

(4) 고문제도 운영의 투명성 제고

신한카드㈜는 「고문운영규정」에 따라 퇴임한 경영진을 고문으로 위촉하면서, 고문의 위촉결정, 위촉기간, 보수 및 복리후생 등에 관한 사항을 대표이사 전결로 정하는 등 객관적이고 공정한 기준 없이 고문제도를 운영하고 있으므로 앞으로 고문제도 운영과 관련된 사항을 이사회에서 결정하도록 관련 내규를 개정·운영하는 등 고문제도 운영의 투명성 및 객관성을 제고할 필요가 있음

(5) 공시업무 관리 강화

신한카드㈜는 정기 주주총회 감사위원 선임 과정에서 최대주주인 ㈜신한금융지주(지분율 : 100%)가 보유한 주식중 3%에 해당하는 주식만 의결권이 행사되었는데도, 의결권 행사 내역을 공시하면서 ㈜신한금융지주가 보유한 전체 주식의 의결권이 행사된 것으로만 기재하여 의결 행사 제한내용이 적절히 공시되지 않을 우려가 있으므로, 앞으로 공시업무 수행시 의결권 제한내용 등이 적절히 공시될 수 있도록 공시내용의 정확성에 대한 확인을 강화할 필요가 있음

(6) 계열사 공동 마케팅 절차 합리화

신한카드㈜는 □□□□□ 계좌를 카드회원의 결제계좌로 유치하는 마케팅을 추진하는 경우 원칙적으로 □□□□□과 마케팅 비용을 공동으로 부담하는 내용의 ‘공동마케팅 협약서’를 체결하였으나, 2018.10∼12월 기간중 3회에 걸쳐 결제계좌 유치 마케팅을 실시하면서 신한카드㈜가 동 마케팅으로부터 자체적인 이익 시현이 예상된다는 이유로 비용을 단독으로 부담하여 추진한 사실이 있으므로 향후 계열사 관련 마케팅 추진시 마케팅 비용부담원칙을 명확히 하고 계열사간 내부거래 해당 여부에 대한 사전검토 및 확인 프로세스를 수립하는 등 계열사 공동 마케팅 절차의 합리성을 제고할 필요가 있음

(7) 광고 등에 관한 심의 강화

신한카드㈜는 회원에게 전송하는 광고성 문자메시지중 여신금융상품과 관련된 광고성 문자메시지에 대해서만 준법감시부서가 사전 심의하도록 하고 있어 고객에게 불필요한 광고성 문자메시지가 전송될 우려가 있으므로 사전 심의대상 광고성 문자메시지 종류를 확대하는 등 광고 심의 절차를 강화할 필요가 있음

(8) 비대면 방식 카드회원 모집 관련 내부통제 강화

신한카드㈜는 외부 업체와 업무제휴를 통해 신규 및 무실적 고객을 대상으로 현금 캐시백, 상품권 등을 제공하는 조건으로 비대면 방식으로 카드회원을 모집하고 있는데 동 비대면 모집 과정에서 과다 경품 지급 등 카드회원 모집 관련 법규위반 사항이 발생하지 않도록 업무제휴 외부업체의 모집 진행상황 및 법규 준수여부를 정기 및 수시로 점검하는 등 내부통제를 강화할 필요가 있음

(9) 미환급금 관리체계 강화 필요

신한카드㈜는 고객에게 캐시백, 법원환급금 등을 지급하는 과정에서 계좌 오류 및 카드 미사용 등에 따른 카드대금 차감 불가 등의 사유로 고객에게 환급되지 않은 미환급금을 수기로 관리하면서, 주기적인 고객 안내 절차도 마련하지 않아 미환급금의 반환 지연 및 금융사고 발생 등이 우려가 있으므로 고객에게 미환급금을 신속 정확히 반환할 수 있도록 관련 전산시스템 구축 및 주기적인 안내 문자메시지 발송 등 미환급금 관리체계를 강화할 필요가 있음

(10) 중장기 정보화 계획 수립 강화 필요

신한카드㈜ ICT본부는 4차 산업혁명 확산과 디지털 가속화 관점에서 ICT조직, 프로세스, 인프라를 진단하고 미래 ICT 경쟁력을 강화할 수 있도록 컨설팅을 통해 ○○개 추진전략, ○○개 실행과제, ○개 경영진 Agenda를 도출한 중장기 정보화 계획(신한카드 ICT 미래 발전전략, ○○○○.○.○○.)을 수립하였으나, CISO 산하 조직(정보보호팀) 및 IT유관 부서 등에 대한 조직, 프로세스, 인프라 등의 진단을 수행하지 않아 신한카드 전산자원의 장기적인 활용에 초점을 맞추지 못하였고, ICT본부에 국한되는 경영목표를 달성하기 위한 중장기 정보화 계획을 수립하여 전사차원의 IT부문 전반에 대한 중장기 목표와 정보화 계획의 일관성 유지 및 대표성을 갖추기 어려우므로 앞으로 IT전반에 대한 조직, 프로세스, 인프라 등의 진단을 통해 중장기 정보화 계획의 실효성을 제고하고, 경영목표를 달성하기 위한 전사차원의 IT부문 중장기 목표와 단계별 추진개요 및 추진일정을 포함한 IT부문 중장기 정보화 계획을 수립하여 운영하시기 바람

(11) 데이터센터 시설 운영 관리 대책 마련 필요

신한카드㈜가 IT운영 업무를 위탁하기 위해 ○○○○와 체결한 ‘그룹 데이터센터 운영업무 위탁 계약’에는 위탁업무의 적정성을 확인하기 위한 자료 요구 및 외부기관 검사에 대한 원활한 진행을 위해 적극 협조한다는 내용을 명시하고 있으나, 데이터센터 시설사용을 위해 데이터센터 소유주인 □□□□□과 체결한 ‘△△△△△ △△△ △△△계약’에 동 내용을 명시하지 않아, 검사기간 중 금융감독원 검사역이 검사목적으로 요청한 데이터센터 시설 점검자료(최근 3회분) 요구에 대하여 □□□□□으로부터 최근의 시설 점검 적정성을 확인하기 어려운 舊자료를 받아 제출하였고, 데이터센터 검사 시 자료 확인에 필요한 노트북 반입과 증적 확보를 위한 촬영 등 검사요구 사항을 □□□□□의 보안관리 정책을 이유로 협조 받지 못하는 등 데이터센터 시설사용 관련 계약내용 미비로 신한카드㈜가 데이터센터 시설 운영에 대한 최소한의 관리 업무 수행을 실시하기 어렵고 감독기관 검사의 원활한 진행에 어려움이 있으므로 앞으로 데이터센터 시설 사용 계약 시 데이터센터 시설 운영의 적정성에 대하여 최소한의 관리 업무를 수행하기 위한 자료요구 및 감독기관의 검사 필요사항 요구에 협조하도록 관련 내용을 계약에 반영하는 등 대책을 마련하시기 바람

(12) 마케팅 행사 등에 대한 수익성 분석·관리체계 강화

신한카드(주)는 ｢수익성 분석 및 관리규정｣에 따라 마케팅 행사 추진시 사전 및 사후 수익성 분석을 실시하고 있으나 일부 대형가맹점 대상 마케팅 행사의 경우 연간 제휴계약에 따라 월 단위로 진행되는데도 사후 수익 분석은 통상 반기 단위로 수행하고 있어 대형가맹점에 대한 수익성 관리가 적시에 이루어지지 않을 가능성이 있고 손익관리 담당부서가 마케팅 행사 사후 수익성 분석결과를 통신지, 회의체 보고 등 일관성 없는 방식으로 행사 기안부서에 통보하고 있어 수익성 분석결과가 체계적으로 관리되지 않을 우려가 있으므로 마케팅 규모 등 일정 기준에 부합하는 대형가맹점 대상 마케팅 행사에 대해서는 이에 적합한 별도의 수익성 분석･관리체계를 수립･적용하고, 마케팅 행사 관련 사후 수익성 분석결과를 서면 등 정형화된 방식으로 기안부서에 통보할 필요가 있음

나. 개선사항

(1) 상품위원회 및 상품실무협의회 운영 불합리

신한카드㈜는 ｢상품위원회 운영 규칙｣에 따라 회사의 상품, 서비스 개발 등 관련 주요 사항에 대한 심의･의결기구로서 상품위원회 및 상품실무협의희를 운영하고 있으나 상품위원회 위원장이 상품위원회 및 상품실무협의회 위원을 직접 지명하고 필요시 사안별로 위원을 조정할 수 있어 동 심의·의결기구가 자의적으로 운영될 우려가 있고, 상품위원회 의결시 각 위원별로 해당 안건에 대한 가·부를 결재표에 표시하고 필요시 별도 의견을 기재토록 하고 있으나 동 의견의 효력이 불분명하여 사후관리가 미흡할 우려가 있으므로 상품위원회 및 상품실무협의회의 당연직 위원을 관련 내규에 명시하고 심의안건별 추가 위원은 위원회의 동의를 거쳐 선임하도록 하는 한편, 상품위원회 의결시 결재표내 의견을 상품위원회의 요구사항*과 단순 참고의견으로 구분·명시하여 상품위원회 요구사항에 대해서는 별도 보고를 통해 사후관리를 실시하는 등 관련 절차를 합리적으로 개선하시기 바람

* 심의안건에 대한 승인조건 추가, 사후보고 요청 등

(2) 캐시백 지급 절차 불합리

신한카드㈜는 「업무기준」에 따라 고객의 개별 신용카드 사용실적에 따른 캐시백은 고객 본인 명의 자동이체계좌로 지급하고 있으나, 고객단위 매출 마케팅에 따른 캐시백*에 대해서는 고객의 별도 요청이 없을 경우 고객이 현재 사용하는 자동이체계좌가 아닌 최초 등록한 결제계좌로 지급함에 따라 계좌오류 등에 의해 미지급금이 발생하고 있으므로

* 카드종류와 무관하게 고객별 카드사용 실적의 합계가 일정금액 이상일 경우 캐시백

자동이체계좌 등 현재 고객이 거래중인 결제계좌로 캐시백이 지급되도록 관련 절차를 개선하시기 바람

(3) 스왑거래 위험관리체계 미흡

신한카드㈜는 해외 자산유동화증권(ABS : Asset Backed Security)을 발행하는 경우 환율 및 금리변동 위험을 헷지하기 위하여 스왑계약*을 체결하고 있으나

* 환율 및 이자율 스왑(외화원금·변동금리→원화원금·고정금리)

내규「파생금융상품신용리스크관리규칙」제6조에 따라 동 스왑계약의 평가금액 등에 대해서만 한도를 관리하고 명목 계약금액에 대해서는 한도관리를 하고 있지 않아, 소수의 금융기관과 거액의 스왑계약을 체결하는 등 거래상대방 편중리스크 증가가 우려되므로 스왑거래시에는 거래상대방별 명목 계약금액에 대해서도 적정한도를 설정하고 동 한도준수 여부를 모니터링하는 등 거래상대방 편중 리스크 관리절차를 합리적으로 개선하시기 바람

(4) 임원 선임 관련 자격요건 등 검증절차 미흡

신한카드㈜는 내규「지배구조내부규범」제11조에 따라 임원 선임시 임원후보추천위원회가 임원에 대한 선임원칙의 수립·점검·보완 및 후보 검증 등을 하도록 규정하고 있으나, 동 내규상 임원 자격요건 검증 방법 및 절차에 대하여 구체적으로 규정하고 있지 않아 관련 검증이 형식적이거나 부실하게 이루어질 우려가 있으므로 구체적인 검증 방법 및 절차를 명확히 규정하고 관련 업무절차를 개선하시기 바람

(5) 지배구조 내부규범 미흡

신한카드㈜는「금융회사 지배구조에 관한 법률」제14조 제1항에 따라 이사회의 구성과 운영, 이사회내 위원회의 설치, 임원의 전문성 요건, 임원 성과평가 및 최고경영자의 자격 등 경영승계에 관한 사항 등을 내규「지배구조 내부규범」에 규정하고 있으나 동 내규에 임원의 전문성 요건, 최고경영자의 자격 등 경영승계에 관한 사항 등이 구체적으로 규정되어 있지 않아 관련 검증 등이 부실하게 이루어질 우려가 있으므로 관련 내용을 명문화하여 운영하는 등 합리적으로 개선하시기 바람

(6) 법인회원에 대한 유의업체 등 선정기준 불합리

신한카드㈜는 내규 「여신감리지침」에 따라 여신감리 결과 유의업체로 선정되거나 신용도 악화로 조기경보 업체에 선정되는 법인회원에 대해 여신회수 및 한도감액 등을 하고 있으나, 동 내규에 유의업체 및 조기경보업체 선정과 관련된 구체적인 기준을 규정하지 않고 담당심사역의 심사의견을 근거로 유의업체 및 조기경보업체를 선정하고 있어, 유의업체 및 조기경보업체 선정 관련 업무의 일관성이 미흡하고 부실여신 발생에 대한 선제적 대응능력이 저하될 우려가 있으므로 향후 관련 내규 등에 구체적인 선정기준 등을 마련하는 등 합리적으로 개선하시기 바람

(7) 자동차리스 중도해지비용 산정체계 불합리

신한카드㈜는 자동차리스 약관 개정에 따라 관련 내규「업무기준」을 함께 개정하면서 운용리스 중도해지시 고객에게 부과하는 중도해지손해배상금률을 리스 잔여 기간에 따라 차등 인하하는 방식으로 변경하였으나, 중도해지손해배상금률의 최고요율을 합리적 근거없이 인상함에 따라 평균요율이 크게 상승하고 조기 중도해지 고객의 부담이 증가하는 등 불합리하게 운영되고 있으므로, 자동차리스 약관 개선 취지를 감안하여 최고요율을 합리적으로 인하하는 등 리스이용자의 권익 보호를 강화하는 방향으로 중도해지비용 산정체계를 개선하시기 바람

(8) IT감사 업무 불합리

① 내규 ｢감사위원회 직무규정｣에 의하면 감사는 일상감사, 종합감사, 특별감사로 구분하여 실시하고, 「IT감사 매뉴얼」에 의하면 IT부문 종합감사는 5개 부문에 대해 2년 주기로 실시하도록 규정하고 있으나, 감사팀은 IT부문 종합감사 실시(2016.10월) 이후 3년간 팀 업무 단위의 감사를 종합감사로 분류하여 실시하였고, 해당 팀 업무가 아닌 IT업무(IT감사, 시스템운영 등)에 대해서는 감사 대상에 포함하지 않는 등 IT영역(5개 부문) 전체를 포함하는 종합감사는 실시하지 않아 전반적인 IT업무에 대한 적정성을 종합평가하기 어려우므로 IT영역(5개 부문) 전반적인 업무에 대한 종합감사를 감사주기에 따라 정기적으로 실시하는 등 IT부문 감사 업무를 개선하시기 바람

② 내규 ｢감사위원회 규정｣에 의하면 감사 결과보고, 감사결과 시정사항에 대한 조치확인 등에 대해 감사위원회의 심의․의결을 거치도록 규정하고 있으나, 감사팀은 감사결과의 중요 사항만 감사위원회에 보고하여 IT부문 감사결과의 일부가 누락되었고, 감사결과 시정사항에 대한 조치확인 완료여부는 별도 보고하지 않고 있으므로 앞으로 감사위원회에 IT부문 감사결과 및 조치확인 완료여부 등 보고사항이 심의․의결사항에 누락되지 않도록 보고여부를 점검하는 등 관련 절차를 개선하시기 바람

(9) IT부서 자체감사 업무 불합리

IT부서(ICT본부 및 CISO산하 조직) 내 자체감사를 위해 IT자체감사자 3명(ICT기획팀 2명, 정보보호팀 1명)을 지정하고, 「IT자체감사 업무절차서」를 마련하여 자체감사 업무를 수행하고 있으나, ICT기획팀 자체감사는 자체감사체계 재정비(2019.2월) 후 변경된 사항을 동 업무절차서에 반영하지 않아 자체감사 활동이 내부 업무절차서와 다르게 운영되고 있고, 자체감사 지적사항에 대한 조치확인 결과를 자체감사관리시스템에 기록․관리하지 않아 사후관리가 미흡하고, 정보보호팀 자체감사는 일일감사만 실시하고 주기적(월별, 분기별 등) 또는 비정기적 업무에 대한 감사(특명․테마감사) 실적은 없는 등 정보보호 업무 전반에 대한 자체감사 활동이 미흡하므로 앞으로 ICT기획팀은 변경된 자체감사체계에 맞게 업무절차서를 개정하고 자체감사 수행시 감사보고서에 대한 실제 점검증빙을 첨부하고, 지적사항에 대한 조치확인 결과를 기록․관리하며, 정보보호팀은 일일감사 이외의 정기적 및 비정기적으로 실시하는 업무에 대한 감사(매월감사, 테마감사 등)를 실시하는 등 자체감사 활동을 강화하시기 바람

(10) IT업무 위탁 불합리

IT외부주문의 안정적인 서비스 제공 및 유지보수 품질향상을 위하여 IT업무 위탁사업에 대해 재무건전성(년 1회) 및 서비스품질수준(반기 1회) 평가를 수행하고 있으나, ‘▽▽▽▽ 운영 위탁’(○○○○), ‘▷▷▷ ▷▷▷▷▷ 운영 용역’(◇◇◇◇◇◇◇◇◇) 및 ‘◁◁◁◁◁◁◁◁ 운영 용역’(□□□□□□□□□)의 경우 양사가 상호 합의한 서비스수준약정서(SLA) 평가항목, 목표수준 등을 정의한 협약서를 마련하지 않아 별도의 평가를 실시하지 않고 있으므로 앞으로 서비스수준약정서(SLA)를 마련하여야 할 IT업무 위탁의 범위를 내규에 반영하고, 동 약정서에 따라 평가를 실시하여 IT업무 위탁에 대한 품질관리 및 비용지급의 적정성을 확보할 수 있도록 개선하시기 바람

(11) 비상계획 관리 불합리

검사대상기간중 실시한 재해복구 모의훈련에 IT 및 현업부서 직원이 함께 참여하고 전력공급 중단으로 인한 주전산센터 전체의 장애를 가정하여 재해복구센터로 전환하는 훈련을 실시하고 있으나, 일부 정보시스템 장애 등 다양한 비상상황에 대비한 재해복구 훈련을 실시하지 않아 비상상황 발생시 재해복구시스템 전환 또는 시스템 복구 등 상황판단의 어려움과 신속한 대응에 차질이 발생할 우려가 있으므로 앞으로 네트워크 회선장애, 디스크 오류 등 다양한 비상상황을 고려하여 상황별 대응능력을 높일 수 있는 복구훈련을 실시할 수 있도록 관련 절차를 개선하시기 바람

(12) IT관련 계약 관리 불합리

내규 「전산업무관리규칙」 및 「구매관리규정」등에 따라 IT관련 용역 또는 물품 도입시 업체선정 및 계약체결 등의 절차를 마련하여 운영하고 있으나, 검사대상기간 동안 체결된 IT용역 및 유지보수 등 ○○○건의 계약 중 계약체결일이 계약수행 시작일보다 지연된 경우가 △△건이 발생하였고, IT유지보수 계약(◇◇◇건)의 경우 업무 연속성을 고려하여 대부분 수의계약으로 진행하고 있으며, 기존 유지보수 업체의 계약해지 요청으로 업체를 변경하는 경우에도 변경 유지보수 업체선정의 타당성, 계약방식 변경 등에 대한 검토 없이 수의계약으로 진행하고 있으므로 앞으로 ICT본부 또는 정보보호팀의 용역 또는 유지보수 등 IT관련 계약은 계약수행 시작일 이전에 계약이 체결될 수 있도록 관련 절차를 개선하고, 유지보수 업체의 계약해지 요청에 따라 유지보수 업체가 변경되는 경우 총무팀은 업체선정 및 계약방식의 적정성을 확보하여 비용 지출의 합리성을 확보할 수 있도록 개선하시기 바람

(13) 프로그램 변경통제 불합리

① 프로그램 변경통제를 위해 「CSR요청 및 업무처리 Process」를 마련하고, 프로그램 오류를 최소화하기 위해 변경 영향분석, 코드 품질점검, 시큐어코딩 점검을 실시하도록 자동화된 관련 솔루션을 도입․적용하고 있으나, 2019.3.25.부터 동 솔루션이 설치된 서버에 과부하가 발생하여 개발담당자에 의한 변경 영향분석 및 코드 품질점검을 필수에서 선택사항으로 정책을 변경 적용하였고, 시큐어코딩 점검시 발견된 보안 취약점에 대한 조치 예외가 필요한 경우 보안담당자가 아닌 개발통제책임자(BA)가 승인하고 있어 품질점검 및 보안취약점 미조치 등에 의한 사고가 발생할 수 있으므로 앞으로 서버 증설 등을 통해 과부하 문제를 조속히 해결하고, 프로그램 변경시 변경 영향분석 및 코드 품질점검을 반드시 실시하도록 개선하는 한편, 시큐어코딩 점검시 발견된 보안취약점에 대한 조치 예외 판단을 보안담당자가 승인하는 등 변경통제관리 절차를 개선하시기 바람

② 프로그램 변경 시 서비스개발관리시스템 및 형상관리솔루션을 통해 개발담당자 테스트 및 현업검수 확인을 거쳐 책임자 승인 후 운영시스템에 반영하고 있으나, 개발담당자 테스트 결과에 대한 증적을 프로그램 배포 1개월후 일괄 삭제하여 사후에 프로그램 오류로 인한 사고 발생시 테스트 적정여부를 확인하기 어려우므로 프로그램 변경시 테스트 수행결과의 적정 여부를 사후 확인할 수 있도록 이용자 정보를 제외한 테스트 결과 증적을 보관하는 등 테스트 결과 관리를 개선하시기 바람

(14) 소산관리 업무 불합리

｢백업정책서｣에 따라 주전산센터(○○ 소재)의 주요 데이터는 정기적으로 백업하고, 장기보관 데이터 및 정보계 데이터에 대해서는 정기적으로 물리적인 테이프에 백업하여 원격지 소산센터(□□ 소재)에 소산(주 1회)하고 있으나, 계정계 및 승인계의 주요 데이터에 대해서는 재해복구센터(▽▽ 소재)의 가상디스크에 실시간으로 백업하면서도 정기적인 원격지 소산대상에는 포함하지 않아 검사착수일 현재 소산센터에는 △△△△.△.△. 백업했던 테이프가 마지막으로 소산되어 있어 가상디스크를 이용한 복구가 불가능하여 불가피하게 소산테이프로 복구해야 하는 비상상황 발생 시 최장 ◇년간의 금융거래 데이터가 유실될 우려가 있고, 소산센터 내 소산테이프를 보관하는 캐비넷에 화재방지 기능이 없어 화재에 취약한 상태로 운영하고 있으므로 앞으로 계정계 및 승인계의 주요 데이터에 대해서도 정기적인 소산대상에 포함하여 관리하고, 화재방지 기능이 있는 캐비넷을 도입하여 소산테이프를 화재 등으로부터 안전하게 보관하는 등 소산관리 업무를 개선하시기 바람

(15) 배치작업 통제 관리 불합리

배치작업 등록·실행 등 관리를 위해 배치작업관리솔루션을 설치하여 ｢배치운영 매뉴얼｣에 따라 관련 직무자의 역할에 따라 권한을 부여하고 작업시 책임자의 승인을 거치고 있으나, 검사착수일 현재 영업시간 이외에 요청하는 배치작업에 대해서 작업 중요도 및 긴급성 여부와 상관없이 사후승인 절차로 운영함에 따라 시스템 영향도가 높은 배치 작업이 책임자의 사전승인 없이 실행될 우려가 있고 영업시간 이외에 배치관리자의 부재 상황을 대비하여 오퍼레이터(OP)에게도 배치관리자 권한을 부여하고 있어 작업의뢰 없이도 오퍼레이터가 단독으로 배치실행 작업과 관련된 모든 기능의 사용이 가능함으로써 실수 또는 임의로 배치 작업을 수정·삭제하는 사고가 발생할 우려가 있으므로 앞으로 긴급 상황 이외의 배치작업 요청은 사전승인을 받아 처리할 수 있도록 배치작업에 대한 사후승인 기준을 마련하는 한편, 오퍼레이터(OP)에게는 의뢰된 작업을 처리하기 위한 최소한의 권한을 부여하고, 영업시간 이외에 장애 등 긴급 상황에서 배치관리자 권한이 필요한 경우 책임자 등의 승인을 거치는 등 통제 절차를 강화하시기 바람

(16) 대규모 이벤트시 시스템 장애 예방대책 불합리

대고객 이벤트시 현업 담당자가 마케팅 관리시스템을 통해 판촉 대상자를 선정하고 ‘메시지 발송신청서’를 작성하여 관련 책임자 승인 후 이벤트 내용을 SMS, Email, App-Push 메세지 등으로 발송하고 있으나, 동시 접속자 급증이 예상되는 이벤트 메시지를 발송하기 전 스마트폰 앱 및 홈페이지 등 IT시스템의 가용성(성능·용량) 측면에서의 검토 절차가 포함되지 않아, “○○○○○○○○○○○이벤트” 안내 후 동시 접속자 급증으로 인한 시스템 과부하로 앱카드 결제 장애가 발생하여 전자금융서비스 본연의 기능에 영향을 미친 사례가 있었으므로 앞으로 대고객 이벤트 추진시 시스템 성능·용량의 한계를 초과하는 수준의 이용자 접속이 예상되는 경우 사전에 시스템 가용성 측면에서의 검토가 이루어 질 수 있도록 마케팅 관리시스템 내 관련 절차를 추가하는 한편, 시스템 성능·용량이 부족한 경우 시스템 자원을 일시 증설하거나 예비 장치를 확보하는 등 장애 예방을 위한 대책을 개선하시기 바람

(17) 취약점 분석․평가 이행조치 운영 불합리

전자금융기반시설 등에 대한 취약점 분석․평가를 정기적으로 실시하여 발생한 취약점에 대해서는 조치계획 수립 후 정보보호위원회의 심의․의결을 거쳐 최고경영자에게 보고하고 있으나, 취약점에 대한 조치계획 수립 시 보안리스크에 따른 조치기한을 정하지 않고 해당 부서에서 제출한 기한을 그대로 따르고 있어, 중요 취약점이 장기간 보안사고 위협에 노출되는 문제점이 있고, 내규상 취약점 분석․평가의 이행조치에 대한 사항과 관련하여 세부절차나 방법 등이 수립되지 않아 기 조치된 취약점에 대한 사후관리가 미흡하므로 앞으로 조치계획 수립 시 취약점의 위험도, 위험 수용가능 여부 등에 따라 이행기간을 합리적으로 결정하고, 취약점 조치 이후 조치의 적정성을 점검하는 등 조치결과의 완결성을 확인할 수 있도록 기준을 마련하는 등 취약점 분석․평가 관리절차를 개선하시기 바람

(18) 데이터베이스 접근통제 등 운영․관리 불합리

데이터베이스에 대한 접근권한 통제, 명령어 통제, 추가인증 등을 위해 접근통제솔루션을 운영하고 있으나, 일부 사용자계정으로 등록된 장기 미사용 IP를 정리하지 않고 접속을 허용하는 등 사용자 계정관리가 미흡하며, 데이터베이스 접속권한 신청 시 업무별 범위 및 권한관리 부여기준이 불명확하여 사용자 계정에 과도한 권한이 부여되어 중요 데이터의 무단 변경 또는 고객정보의 유출에 대한 우려가 있으므로 앞으로 사용자계정으로 등록된 장기 미사용 IP는 정기적으로 점검하여 정리하고, 데이터베이스 접근권한의 경우 업무수행에 필요한 최소한의 범위로 차등 부여하는 등 데이터베이스 접근통제를 개선하시기 바람

(19) 스마트폰 앱 운영정책 불합리

스마트폰 앱을 이용하여 전자금융거래 서비스를 제공하는 경우 스마트폰의 OS 버전 및 앱 구동의 안정성 등을 고려하여 특정 버전 이상의 앱을 설치하도록 운영하고 있으나, 스마트폰 앱 관련 담당부서가 나뉘어 있어 업데이트 기준에 대한 제도화된 의사결정협의체가 없이 해당 부서의 서비스 담당자 판단에 따라 접속허용 버전을 지정하여 보안 취약점을 개선하지 않은 이전 버전에 대한 업데이트가 지연될 우려가 있으므로 앞으로 이용자의 접속을 허용하는 스마트폰 앱의 접속허용 버전을 지정함에 있어 전자금융거래서비스의 안정성 및 보안성을 모두 고려하여 앱 업데이트가 이루어질 수 있도록 정기업무협의체 등 운영기준을 마련하여 운영하시기 바람