(주)하나금융티아이 금감원 경영유의사항 · 2021-06-22

경영유의사항 등 공개안

1. 금융기관명 : ㈜하나금융티아이

2. 조치일 : 2021. 6. 22.

3. 조치내용

4. 조치대상사실

가. 개선 사항

(1) IT사업 계약 절차 불합리

㈎ 내규「계약업무규정」제47조에는 계속적인 거래관계 및 사업관계로 인하여 해당 사업목적을 달성하는데 유리하거나 계약의 목적, 성질상 수의계약이 불가피할 경우 등에는 수의계약을 체결할 수 있도록 허용하고 있으나, 수의계약 사유의 타당성을 검증할 만한 객관적인 증빙 없이 ‘사업발의 부서의 요청 사항(특정 기술력 보유 등)’, ‘계속거래 관계’ 등의 사유를 근거로 수의계약을 진행 하고 있어 수의계약에 대한 객관성 및 투명성이 결여될 우려가 있으므로 수의계약 진행 시 수의계약 사유에 대한 객관적인 증빙 자료를 징구하고, 수의 계약이 불가피한 경우에는 별도의 내부승인 절차를 마련하는 등 수의계약 사유에 대한 적정성 검증 절차를 개선할 필요

㈏ 내규「계약업무규정」제24조에는 계약종료 시 사업담당자가 계약 이행현황 및 산출물 등을 통해 검수를 진행하고 있고 계약금액이 ○○만원 이하의 계약은 검수 조서 작성을 생략하고 있어 검수에 대한 객관성 확보가 어려우므로 검수업무는 사업담당자 이외에 계약담당자 및 이해관계자를 배제한 제3자가 참여 하여 객관적인 증빙을 남기도록 하고, 원칙적으로 모든 계약에 대해 검수를 진행 하되 부득이 검수를 생략할 경우 그 사유를 명확히 하는 등 검사업무 절차를 개선할 필요

(2) 전자금융기반시설 취약점 분석 평가 관리 불합리

◦ 전자금융기반시설 등에 대해 취약점 분석·평가를 정기적으로 실시하고 그 결과에

대해 최고경영자에게 보고하고 있으나,

일부 취약점의 경우 항목별 자산 중요도 및 위험도 등 시스템에 미치는 영향도 등을 상세하게 검토하지 않고 ‘○○○ 환경(○○시스템 등)’ 등 불명확한 사유를 근거로 ‘위험수용’으로 처리하고 있어, 차기 취약점 분석 평가 기간까지 보완통제 대책을 적용하지 않는 등 취약점 분석 평가 및 추적관리가 일부 미흡하므로 항목별 자산 중요도, 위험도 등 리스크를 종합적으로 고려하여 취약점 ‘위험수용 기준’을 보완함으로써 조치 가능한 취약점이 누락되지 않도록 관리하고, 잔존 하는 취약점에 대해 보완대책 및 이행계획을 추적 관리하는 한편, 동일한 취약점이 반복되지 않도록 담당자를 대상으로 보안교육을 실시하는 등 취약점 분석 평가 관리를 개선할 필요

(3) 클라우드컴퓨팅서비스 관리 불합리

㈎ 클라우드 보안운영 지침 제10조 및 그룹 공용 클라우드컴퓨팅서비스 계약서

제22조에는 클라우드 서비스 계약 종료 시 클라우드 운영부서는 위탁자의 백업 데이터를 포함한 모든 데이터를 재사용할 수 없도록 정보를 삭제하고, 데이터의 안전한 파기에 대한 자료를 수요자에게 제출토록 정하고 있으나, 자원 회수 절차 에는 백업데이터에 대한 삭제 방안이 명시되어 있지 않고, 위탁자가 별도 요청하지 않는 경우에는 파기와 관련 증빙도 별도 기록 관리 하지 않으므로

클라우드서비스 계약 종료로 인한 데이터 파기 시에는 백업 데이터를 포함하여 안전하게 파기하고, 그 파기 증빙을 별도 기록 관리하여 수요자에게 즉시 제출 될 수 있도록 클라우드서비스 자원회수 파기 절차를 개선할 필요

㈏ 클라우드 관리 포털을 통해 가상자원의 생성, 변경, 회수 등의 운영 업무를 수행 하고 클라우드 사용자(내부관리자 및 그룹 이용자) 계정 등록 및 접근권한 등을 통합관리하고 있으나,

클라우드 사용자 계정정보가 그룹웨어의 계정정보 등과 연동되지 않아 사용자의 부서변경 및 퇴직 등 인사변경이 발생하는 경우 즉각적인 계정권한 회수 등에 어려움이 있으므로,

클라우드 사용자 계정정보와 그룹웨어 계정정보와의 연동 방안 등을 마련하고, 클라우드 사용자 계정 및 접근권한에 대해 주기적으로 점검하는 등 클라우드 사용자 계정관리를 강화할 필요