㈜케이비국민카드 금감원 경영유의사항 · 2021-06-11

경영유의사항등 공개안

1. 금융기관명 : ㈜케이비국민카드

2. 조치일 : 2021. 6. 11.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 포인트 사용 등에 대한 고객 안내 강화

㈜케이비국민카드는 신용카드 상품별로 고객의 이용금액에 따라 다양한 방식

으로 포인트를 지급하고 있는데, 카드대금 결제, 현금 캐시백, 연회비 납부 등 사용처가 다양한 범용 포인트인 포인트리에 비해 상대적으로 사용처가 제한된 ’금융포인트’ 등 기타 포인트(10종)의 경우 포인트 미사용에 따른 소멸률이 높은 등 포인트 종류별로 고객 활용도가 크게 차이가 나므로,

타 포인트로의 전환, 현금화 등 포인트 활용과 관련된 사항에 대한 고객

안내 등을 강화하여 미사용으로 인해 소멸되는 포인트를 최소화할 필요가 있음

(2) 고객정보 제공내역 홈페이지 관리 강화

㈜케이비국민카드는 고객이 계열회사 간 정보공유 내역을 인터넷 홈페이지를

통해 조회할 수 있도록 하고 있으나, 고객정보 제공내역 홈페이지 운영의 적정 성에 대한 점검 절차를 마련하지 않아 오류 발생시 이를 조기에 인지하지 못할 가능성이 있으므로

고객정보 제공내역 홈페이지 운영의 적정성을 정보보호 모니터링 항목에

포함하여 주기적으로 점검하는 등 홈페이지 관리를 강화할 필요가 있음

(3) 채무면제·유예상품 보상업무 강화

㈜케이비국민카드는 채무면제·유예(DCDS) 상품의 약관에 따라 동 상품

가입 회원에 대한 보상업무를 수행하고 있으나 사망자 관련 미지급 보상금이 증가 하고 있고,

고객이 동 상품을 해지하는 경우 해지결과 등에 대해서만 안내하고 해지

이후에도 해지전 발생한 보상사건에 대해서는 보상금 청구가 가능하다는 안내를 하지 않는 등 동 상품과 관련된 고객 보호 대책이 미흡한 측면이 있으므로

동 상품을 가입한 회원의 사망 시에는 상속인에 대한 안내 등을 강화

하여 미지급 보상금을 최소화하고, 고객이 해지후 보상 가능 요건에 대하여 상세히 안내하는 등 보상관련 업무절차를 강화할 필요가 있음

(4) 미환급금 관리 강화

㈜케이비국민카드는 결제취소, 결제대금 이중출금 등으로 회원 및 가맹점에

대해 환급할 사유가 발생할 경우 결제대금 차감, 계좌 입금 등의 방식으로 환급 하고 있으나, 장기간(1년이상) 회원 및 가맹점에 환급하지 않은 미환급금의 건수 및 금액이 많은 편이므로

미환급금 발생 시 고객안내 강화, 미환급금 조회 시스템 구축·운영, 미환급금

발생 현황에 대한 정기 점검 실시 등 미환급금에 대한 관리를 강화할 필요가 있음

(5) 특별한도 제도 운영·관리 강화

㈜케이비국민카드는 신용카드 회원이 결혼·장례비용 등을 결제하기 위한 목적

으로 사용한도 증액을 신청할 경우 해당 회원에 대한 자체심사 결과에 따라 특별 한도를 부여하고 있으나

특별한도 제도의 운영 취지와 달리 사용용도에 따라 특별한도를 부여하는

기준에 합리성이 부족하고 특별한도 이용회원의 연체율이 전체 회원 연체율을 크게 상회하고 있으므로

- 2 -

특별한도 부여시 고객의 사용용도 기준을 합리적으로 운영하고 상환능력을

감안하여 사용한도를 차등 부여하는 등 특별한도 운영과 관련된 리스크 관리를 강화 할 필요가 있음

(6) 전화마케팅(TM) 불완전판매 모니터링 강화

㈜케이비국민카드는 전화마케팅(TM)을 통한 카드 발급 및 카드론 등의

실행 건에 대하여 불완전판매 모니터링을 실시하고 있으나, 마케팅 업무를 담당하는 영업부서가 동 모니터링을 담당하고 있고, 그 결과 미흡사례 확인비율이 저조한 등 불완전판매 모니터링이 실효성 있게 이루어지지 못해 민원 유발 요인의 조기 발견 및 시정이 어려워질 소지가 있으므로

공정성 및 객관성을 확보하고 고객보호 수준을 제고할 수 있도록 소비자

보호부의 직접 모니터링을 확대하고 모니터링 방식도 다양화하는 등 전화마케팅 불완전판매 모니터링 업무절차를 강화할 필요가 있음

(7) IT 유지보수 계약관리 강화

IT 사업관련 계약서에 따라 무상 유지보수 계약기간이 만료되기 전에 유상

유지보수 전환에 대한 내부검토를 완료하고, 유상 전환이 결정된 유지보수 계약은 유상 유지보수 시작일 이전에 계약체결을 하여야 하나,

○○○○.○.○.∼○○○○.○.○. 기간 중 체결된 IT 유상 유지보수 계약 ▽▽건 중

◇◇건(◇◇.◇%)이 유지보수 시작일 이후 최소 ▷일에서 최장 ▷▷▷일까지 지연 체결되었고, 그룹공동 IT 유지보수 계약의 경우 △△△△△△이 유지보수 계약을 늦게 의뢰함에 따라 유지보수 비용이 최소 □개월에서 최장 □개월까지 지연되는 상황이 반복되고 있으므로

그룹공동 IT 유지보수 계약절차를 개선하고, 유지보수 계약기간의 공백이 발생하지 않도록 IT 유지보수 계약관리 절차를 강화하시기 바람

- 3 -

(8) 대규모 IT사업 추진 관련 사전 준법성 검토 강화

주전산센터 이전(○○○센터→▽▽센터)을 위해 단계별 이전작업(총 □차)을

완료(▽▽▽▽.▽▽월)하고 기존 ○○○센터를 재해복구센터로 활용하기 위한 계획을 수립(△△△△.△월)하여 IT사업을 추진하고 있었으나,

재해복구센터 이전을 위해 동 센터를 ◇일간 중단하는 내용으로 수립한 이전

계획은 주전산센터 중단 시 ▷시간 내 대체가 불가하여 복구목표 시간 ▷시간 이내에 완료되도록 계획을 변경하는 등 대규모 IT사업 추진 절차가 미흡하므로

앞으로 대규모 IT사업 추진 시에는 관련 법규에서 정한 안전성 확보조치 준수

여부 등을 사전 검토한 후 진행할 수 있도록 유의하시기 바람

(9) 마케팅 활동에 대한 수익성 분석 결과 활용 강화

㈜케이비국민카드는 내규 수익성분석 규정 에 카드상품 및 마케팅 활동에

대한 수익성 분석 결과를 상품 및 마케팅 활동의 지속 및 변경 여부를 결정하는데 적극 활용하도록 규정하고 있으나

카드상품의 경우 내규 상품위원회운영규정 에 따라 상품위원회에서 수익성

분석 결과 등을 감안하여 판매중단 등을 결정하는 반면, 마케팅 활동의 경우 지속· 중단 및 변경 여부를 결정하는 데 카드상품에 준할 수준으로 수익성 분석 결과가 활용되지 않고 있으므로,

효율적인 마케팅 활동이 이루어질 수 있도록 수익성분석 결과의 활용을 강화

할 필요가 있음

나. 개선사항

(1) 신용카드 연회비 청구 기준 불합리

신용카드 개인회원 표준약관 및 카드업무 매뉴얼 에 따라 고객에게 신용

카드 발급일을 기준으로 연회비를 청구하고 있는데, 일부 신용카드의 경우 배송 지연 등으로 인해 신용카드가 발급된 후 고객이 수령하기까지 장기간이 소요됨에

- 4 -

따라 신용카드 이용기간이 연회비 해당 기간(12개월)에 크게 못 미치는 사례가 있으므로

전화․서면․홈페이지 등 다양한 방식으로 금리인하를 요구할 수 있다고 규정된 것과 달리 신청방식에 제약을 두고 있으며,

신용카드 발급시점과 고객의 수령시점의 차이가 크게 발생하는 경우에는

연회비 기산일을 카드 발급시점이 아닌 고객의 카드 수령시점으로 변경하는 등 연회비 청구 기준을 개선하시기 바람

(2) 청구할인 운영 방식 불합리

특정 가맹점에서 일정금액 이상 결제한 고객을 대상으로 이루어지는 정액

청구(환급)할인 판촉행사와 관련하여 고객이 이용금액의 일부를 부분취소하고 남은 결제금액이 여전히 청구(환급)할인 조건을 충족하고 있음에도 부분취소금액에 비례 하여 청구(환급)할인 금액을 감액한 사례가 있으므로

청구(환급)할인 조건 충족 여부의 검증 및 청구(환급)할인 금액의 산정과

관련된 전산처리 절차를 구축하고, 판촉행사 진행 후 청구(환급)할인 적용의 적정성을 점검하는 등 관련 업무절차를 합리적으로 개선하시기 바람

(3) 포인트 적립 운영방식 불합리

고객의 이용금액에 따라 월 적립한도 내에서 포인트를 제공하는 카드 상품과

관련하여 고객이 부분취소한 후에도 여전히 기존 이용금액이 월 적립한도를 충족하고 있는데도 기적립된 포인트를 차감하고 있으므로

고객의 카드 이용금액 취소시 기적립된 포인트가 불합리하게 차감되지 않도록

포인트 적립·운영방식을 개선하시기 바람

(4) 금리인하요구권 운영방식 불합리

고객이 금리인하요구권을 행사할 경우「여신업무 매뉴얼」 및 「카드업무

매뉴얼」에 따라 관련 업무를 처리하고 있으나,

일부 대출상품의 경우「여신금융회사 표준 여신거래 기본약관」상 고객이

금리인하 가능횟수도 합당한 사유 없이 임의로 대출약정 기간 중 1회로 제한

하고 있고, 금리인하 가능 고객에 대한 안내도 미흡하여 소비자 권익이 제한될 우려가 있으므로

금리인하요구권의 신청방식 확대, 행사 제약조건 완화 및 고객 안내강화 등

금리인하요구권 운영절차를 합리적으로 개선하시기 바람

(5) 부실채권 매각절차 불합리

「대출채권 매각 가이드라인」 제15조에 따르면 소멸시효가 완성된 채권,

채무자가 사망한 채권, 채권의 존부 등에 대한 다툼으로 소송 중인 채권 및 채권· 채무관계가 불명확한 채권 등에 대해서는 사전에 확인하여 매각대상에서 제외하여야 하나, 이를 매각대상 채권에 포함시킨 사례가 있으므로

채권 매각 전 법원 및 신용평가사 등 외부기관 정보를 활용하여 매각제한

채권 해당 여부에 대한 확인 절차를 마련·운영하시기 바람

(6) IT감리 대상 기준 불합리

내규「전산정보업무지침」에 의하면 정보시스템 구축 및 운영 등에 관한

사항을 종합적으로 점검하고 문제점을 개선하기 위해 제3자가 감리하도록 규정하고 있으나

2020.2월부터 감리대상 정보시스템 구축사업의 선정기준을 ’○○○○ ○○○○

○○○ ○○○○ ○○○○○○‘로 변경함에 따라 변경 전 기준으로 감리대상이었던 ’▽▽

▽▽▽ ▽▽▽ ▽▽’(◇◇◇◇년), ’▷▷▷▷▷▷ ▷▷‘(◇◇◇◇년) 등 대고객 시스템 구축 사업이 감리대상에서 제외되어 시스템 구축․운영상 안전성에 대한 제3자 검증이 미흡할 우려가 있으므로

감리대상 기준에 규모기준(투입공수) 뿐만 아니라 특성기준(대고객 전자금융

업무 구축 및 다수의 전자금융업무에 영향을 미치는 SI프로젝트 등)을 추가하여 외부감리를 강화하시기 바람

- 5 -

- 6 -

(7) 개발프로그램 소스코드 취약점 예외 승인 기준 미비

개발 프로그램 소스코드에 내재된 취약점을 식별하고 보완하기 위해 소스

코드 취약점 점검시스템(□□□ □□□□, ▽▽▽▽.▽▽월 도입)을 구축․운영하고 있으며,

동 시스템에 의해 발견된 보안취약점 중 예외 처리가 필요한 경우 업무담당자

(보안점검팀)가 검토한 후 책임자(보안점검팀장)가 예외 처리를 승인하고 있으나

승인 내역 중에 ‘오픈 소스 사용’, ‘개발업무 참조에 필요’, ‘단기간 수정불가’

등 명확한 예외처리 기준에 부합하지 않은 사유에 대해서도 예외처리를 하고 있으 므로

예외처리 업무의 체계적 관리를 위해 예외처리에 따른 취약점 영향도 평가

여부, 예외처리에 따른 보완대체 통제의 적용 여부(또는 계획), 라이선스 사용권 검토 등 명시적인 예외처리 기준을 마련하고, 예외처리에 대한 조치완료여부를 확인하는 절차를 마련하여 시행하시기 바람

(8) 취약점 분석․평가 및 조치 이행관리 미흡

내규에 따라 취약점 분석․평가를 연1회(홈페이지는 6개월에 1회 이상) 정기적

으로 실시하고 정보시스템 및 정보보호시스템의 신규도입․용도변경 시 운영환경에 적용 전 단계에서 취약성 점검을 실시토록 규정하고 있으나,

신규도입․용도변경 서버에 대한 취약점 점검을 정기 취약점 점검시 실시함에

따라 일정기간 취약점이 노출된 상태로 운영하고 있고, 조치 완료된 동일한 유형의 취약점이 ○○○○~△△△△년 취약점 분석․평가시 반복적으로 발견되고 있으며,

조치이행에 대해 관련 증빙(조치내역)을 확인하는 절차 없이 완료 여부만

기록․관리하고 있어 취약점 제거 여부에 대한 객관적인 보증이 어렵고, 대체통제 방안으로 조치한 취약점의 경우 조치방법에 대해 추적․관리가 어려우므로

앞으로 정보시스템 및 정보보호시스템의 신규 도입, 구성 변경 등이 발생

하는 경우 운영환경 적용 전 단계에 취약성 점검을 실시토록 하고, 대체통제 방안 으로 조치한 취약점 등에 대해 조치 이행결과를 명확하게 확인할 수 있도록 취약점 보완조치 이행관리 절차를 마련하는 등 취약점 분석·평가 및 사후관리절차를 개선 하시기 바람

- 7 -

(9) 침입차단시스템(방화벽) 운영․관리 미흡

임직원의 단말기(업무․중요 가상화 PC)에 대해 침입차단 시스템(방화벽)의

방화벽 정책을 수동 설정하는 방식으로 인터넷용(외부망) 단말기와 분리하여 운영 하고 있으나,

망분리 정책 변경 사업을 진행하면서 방화벽 정책 설정(수동) 적용 시 정책

설정의 적정여부에 대해 테스트하지 않고 운영하고 있어 설정 오류로 인해 임직원 단말기가 보안 취약점이 노출된 상태로 운영될 우려가 있으므로

방화벽 정책 통합관리 솔루션 도입 등을 통해 정책설정 적용의 적정여부

확인 등 방화벽 정책관리를 개선하시기 바람

(10) IT감사업무 수행 미흡

① 내규「상근감사위원 직무규정」에 의하면 감사는 일상감사와 일반감사로

구분하고, 일반감사를 업무전반에 대한 종합감사와 특정업무에 대한 부문감사로 구분하여 실시하도록 규정하고 있으나

감사부는 검사대상기간 중 IT부문 종합감사를 IT서비스본부 내 특정부서를

대상으로 실시하고 있고 IT경영, IT감사 기능에 대한 감사를 실시하지 않아 IT기능 전반에 대한 적정성 확인이 곤란하므로

IT경영, IT감사, 시스템 개발․도입 및 유지보수, IT 서비스 제공․지원, IT

보안․정보보호 등 IT기능 전반에 대한 종합적인 감사계획 및 수행 주기를 마련 하여 감사를 실시하시기 바람

② 감사부는 IT감사 업무수행시 점검대상 IT부서별 업무 및 감사절차 등을

기술한 IT감사업무방법서를 마련하여 적용하고 있으나

동 방법서에는 일부 IT부서(○○○○○○)와 IT유관부서(□□□□□, ▷▷▷

▷▷▷▷)가 감사대상에서 제외되어 있고 IT부문에 대한 감사실시주기를 정하지 않고 있으므로

IT감사업무방법서에 IT감사대상 기능․IT부문 종합감사 실시 주기를 명확히

하고 IT감사대상 부서가 누락되지 않도록 해당 방법서를 전반적으로 검토하여 개선하시기 바람

- 8 -

③ ○○○○년 대비 IT 인력이 증가하였고, IT 조직이 확대되었음에도

감사부의 IT감사자와 IT부서 자체감사자가 ○○○○년 종합검사 당시보다

축소 (□명→◇명, ▶명→▷명)되어 IT부문 감사 및 내부통제가 소홀해질 우려가 있고 정보보호본부 소속 IT자체감사자가 본부 내 업무와 자체감사를 겸임하고 있어 자체 감사활동의 객관성이 결여될 우려가 있으므로

IT감사(IT자체감사 포함)가 전체 조직 및 인력을 고려하여 적정히 이루어질

수 있고, 자체 감사업무의 독립성이 확보될 수 있도록 종합적인 IT감사인력 운영 방안을 마련하여 추진하시기 바람

(11) 비상계획 수립 및 운영 불합리

① 내규 「○○○○○○」제□□□조(비상대책 등의 수립․운용)에 따라 업무

지속성 확보방안으로 IT비상계획서를 마련하고, 동 계획서에 공동 비상대응조직을 구성하고 있으나,

공동 비상대응조직이 IT서비스본부의 부서장 중심(종로구 청진동)으로 구성

됨에 따라 비상상황 발생 시 본사(종로구 내수동) IT조직과 신속한 상황판단, 의사 결정․대응 등 유기적인 업무수행이 곤란해질 수 있으므로

회사 내 주요 IT부서가 모두 포함되도록 공동 비상대응조직을 개편하고,

하위 비상대응조직별 관리자(반장)의 임명․업무분장 등에 관한 사항을 조정하고, 비상 상황별 신속한 상황판단과 의사결정․대응 등이 이루어질 수 있도록 공동 비상대응조직을 관리․운영하시기 바람

② ‘◇◇◇◇◇◇◇’에 재해복구모의훈련은 매년 □회 이상 실시하도록 정하였고,

▶▶▶▶년부터 ▷▷▷▷.▷.▷.까지 실시한 총 ▽회의 재해복구모의훈련 시나리오 상

전체 재해뿐만 아니라 단위업무 재해를 고려한 전환훈련으로 실제 상황과 동일하게 운영해 실제 재해 발생시 효율적인 복구작업 및 체계적인 작업관리를 점검 목표로 설정하고 있으나,

◁◁◁◁년 이후 실시한 재해복구모의훈련(총 ●회)에서 ’☆☆ ☆☆☆ ☆☆

☆☆‘ 검증까지 훈련계획에 포함하였음에도 연계 대외기관의 재해복구시스템과 연계가 어렵다는 이유로 실제 훈련에서는 ’◎◎ ◎◎◎ ◎◎◎ ◎◎◎‘까지만 검증 하는 것으로 훈련 범위를 축소하여 실시하였고, 동일한 비상상황 시나리오를 가지고 훈련하였음에도 일부 대고객 서비스(홈페이지, 모바일 앱 등)에 대한 검증 등이 미흡하였으므로

재해복구 모의훈련 시 도출된 문제점은 보완대책을 마련한 후 차기 재해

복구 모의훈련을 통해 효율적인 복구가 가능하도록 하고, 전력공급 설비 장애, 네트워크 회선장애, 디스크 오류 등 다양한 비상상황 시나리오 개발 및 현업부서 훈련참가자를 확대하는 등 상황별 대응능력을 높일 수 있는 훈련을 실시하시기 바람

(12) 프로그램 테스트 및 배포 관리 미흡

개발업무 프로그램 및 핵심시스템 프로그램(□□□□□□□□)의 변경요청

은 통합품질관리시스템을 통해 책임자 승인 및 제3자 검증(품질관리팀)을 거친 후 소스코드형상관리시스템을 통해 배포하는 절차를 마련하여 처리하고 있으나

○○○○.○.○.~△△△△.△△.△△. 기간 중 발생한 프로그램관련 장애의

대부분이 ‘테스트케이스 불충분’, ‘운영시스템 적용 오류’, ‘성능 점검 미흡’에 기인 하는 등 프로그램 테스트 및 배포 관리가 일부 미흡하므로

프로그램 개발 시 연계 프로그램의 영향도 분석을 철저히 하고 개발 및

배포단계 체크리스트에 ‘프로그램 누락’, ‘적용시점 불일치’ 등 중요한 테스트케이스가 누락되지 않도록 하는 한편,

중요 프로그램 변경사항의 운영시스템 적용 시 비상상황 발생에 대비하기

위해 모니터링을 강화하시기 바람

(13) 전산원장 변경통제 절차 미흡

◎◎◎◎◎◎ ◎◎◎ 을 근거로 전산원장 변경내용 자동기록, 제3자 확인 등

전산원장 변경통제 절차를 수립·운영하고 있으나,

- 9 -

- 10 -

◁◁◁◁◁◁◁(○○○○○) 내 ‘원장수정 데이터입력’ 화면을 이용한 전산

원장 변경 등 총 3개의 전산원장 변경방식을 운영하면서 동 방식별 이용기준을 마련하지 않았고,

프로그램 변경을 통제·관리하는 □□□□□□□□□(△△△△)을 통해서도

전산원장 변경 요청이 처리되는 사례가 있는 등 전산원장 변경과 관련한 내부 통제가 미흡하므로

앞으로 전산원장 변경 시 통제절차를 우회하지 않도록 전산원장 변경방식별

세부 이용기준을 마련하고, 예외(우회) 상황에 대한 통제절차를 보완하는 등 전산 원장 변경통제를 강화하시기 바람

(14) 사용자 접근권한 통제 미흡

임직원의 직위 및 부서에 따라 ◁◁◁◁◁◁◁(○○○○○) 화면의 조회권한을

차등부여하고, 화면 내 고객정보 중 주민등록번호, 전화번호 등 주요 정보에 대해 부분 마스킹 처리하고 있으나,

일부 화면에서 마스킹 처리된 부분을 마우스로 드래그(drag)하면 고객정보의

원본이 노출되는 오류가 있으며,

조회권한을 차등부여하고 있으나, 일부 고객정보 조회 화면의 조회권한을

전체 임직원에게 부여하고 있어 불필요한 고객정보 조회가 발생할 우려가 있으므로

대고객 업무와 관련성이 없는 부서 등에 대해서는 고객정보 조회 화면에

대한 접근권한을 회수하고, 고객정보 마스킹 처리를 보완하는 등 권한관리를 강화 하시기 바람

(15) 전자금융사고 보고 및 장애처리 통제절차 불합리

정보처리시스템 또는 통신회선 등의 장애로 10분 이상 전산업무가 중단

또는 지연되거나 전산자료 또는 프로그램의 조작과 관련된 금융사고가 발생하는 경우 지체 없이 금융감독원에 보고하여야 하나,

일부 전자금융사고 및 장애사고에 대한 보고가 누락된 경우가 있고, IT

장애관리 매뉴얼 에 따라 사고원인, 파급영향, 조치사항(계획), 재발방지대책 등을 포함하는 장애보고서를 작성하고 책임자에게 보고하는 방식으로 장애를 관리하고 있으나,

장애보고서 상 조치계획에 대한 조치 완료여부, 피해고객의 피해보상 완료

여부 등을 확인하지 않고 종결 처리하는 등 사후관리가 미흡하므로

앞으로 전자금융사고 및 정보처리시스템 장애 보고와 관련한 운영절차를

개선하여 전자금융사고 또는 장애 보고가 누락되지 않도록 하고, 장애 종결 처리 시 조치계획에 대한 조치 완료여부, 피해보상 완료여부 등을 확인하고 종결할 수 있도록 장애관리 업무를 강화하시기 바람

(16) 백업테이프 소산관리 미흡

주전산센터(□□ □□□□□□)의 전산자료, 운영체제(OS) 등을 정기적으로 백업

하여 내수센터(○○○ ○○ ○○○)로 매일 소산·보관하고 있으나,

내수센터에 있는 백업테이프는 내화금고가 아닌 테이프 전용 랙(Rack)에

보관되고 있어 화재 발생시 백업데이터가 소실될 위험이 있으므로

앞으로 내수센터에 보관 중인 백업테이프를 화재로부터 보호할 수 있도록

내화금고 등에 보관하여 백업데이터를 안전하게 관리하시기 바람

(17) 운영체제 등 노후화 시스템 소프트웨어 관리 미흡

채널계, 승인계 등 ◎◎◎◎대 서버에 운영체제, DBMS 등 총 ○○○○본의

필수 시스템 소프트웨어를 설치․운영하고 있으나,

총 □□대(채널계 ▽▽대, 승인계 ◁대 등)의 서버에 설치된 필수 시스템

소프트웨어 ▷▷본이 제조사의 기술지원이 중단(End of Service)된 제품으로 장애 시 복구 또는 패치(patch) 적용이 지연될 우려가 있으므로

제조사 기술지원이 중단된 시스템 소프트웨어는 안정화된 최신 제품 또는

타사 제품으로 교체하고, 업그레이드 등 조치 전까지 기술지원 협약을 별도로 체결하는 등의 보완대책을 마련하시기 바람

- 11 -

- 12 -

(18) 배치작업 통제 관리 미흡

배치작업 등록․실행 등 관리를 위해 배치작업관리 솔루션(○○○○○○○○○)을

설치하여 배치작업 등록 시 책임자의 승인을 거치고 업무시간 이외 배치작업, 배치작업 중 오류 등은 사후승인 받도록 통제하고 있으나,

업무시간(09:00~18:00) 이외 배치작업 건에 대해 작업 중요도 및 긴급성 여부와

상관없이 사후승인 절차로 운영함에 따라 시스템 영향도가 높은 배치 작업이 사전 검토 없이 실행되어 오류 발생 위험이 높으며,

배치작업 중 오류 재실행 건과 관련하여 7영업일 초과 사후승인건이 다수

확인되는 등 배치작업 오류 정정의 적합성 확인이 적시에 이루어지지 않아 장애 등 전산사고 발생 가능성이 상존하므로

앞으로 야간 등 긴급상황 이외의 배치작업 요청과 배치작업 재실행은 책임자

사전승인을 받아 처리할 수 있도록 배치작업 사후승인 기준 관련 통제절차를 개선하시기 바람

- 13 -