네이버파이낸셜 주식회사 금감원 경영유의사항 · 2021-11-03

경영유의사항 등 공개안

1. 금융기관명 : 네이버파이낸셜㈜

2. 조치일 : 2021. 11. 3.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) 가맹점 결제대금 정산관리절차 개선

회사는 간편결제 대금 정산 시 가맹점의 결제완료 요청을 받아 정산금을 지급하고

이용자에게 적립(무상)포인트를 주고 있으나,

가맹점의 결제완료 요청*이 없는 OO,OOO건의 가맹점 정산대금과 이용자 적립

(무상)포인트를 지급하지 않고 장기간 보유하고 있어 가맹점과 이용자에게 피해가 발생할 우려가 있으므로,

* (간편결제 정산 절차) 구매확정(이용자→가맹점) → 결제완료 요청(가맹점→회사) → 정산대금 및 적립(무상)포인트 지급(회사→가맹점 및 이용자)

가맹점에게 결제완료 미처리 건을 주기적으로 안내하고 일정기간 경과 후 결제

완료로 처리되도록 정산관리 절차를 개선하시기 바람

(2) 선불전자지급수단 운용방식 미흡

회사는 선불전자지급수단(이하 ‘선불계좌’)을 발행·관리하면서 선불계좌를 통해

간편결제‧간편송금 등의 서비스를 제공하고 있으나,

이용자가 계좌간편결제 시 거래내역 및 주문상세 페이지(‘결제상세’)에서 본인의

연결계좌(선불계좌와 연결된 은행 또는 증권계좌)와 선불계좌 간의 충전 거래기록*을 조회할 수 없으며

* 연결계좌에서 선불계좌로 충전 후 결제가 이뤄지고 있으나, 연결계좌를 통한 결제금액만 조회 가능

간편송금 시에도 거래내역 및 네이버 송금확인증 등에서 본인의 연결계좌와 선불

계좌 간의 충전 거래기록*을 확인할 수 없으므로

* 송금을 신청한 연결(출금)계좌에서 선불계좌로 충전 후 송금이 이뤄지고 있으나, 송금인 및 수취인 정보만 조회 가능

이용자가 간편결제‧간편송금 등을 위해 선불계좌를 사용하는 경우 본인의 선불

계좌를 거쳐 처리된 거래기록을 조회할 수 있도록 시스템을 개선하시기 바람

(3) 전산자료의 반출통제 미흡

회사는 내부 전산자료 보호를 위해 개인정보관리시스템 및 유해사이트차단시스템

등 보안시스템을 운영하고 있으나,

임직원이 단말기에 개인정보파일을 저장하는 경우 개인정보관리시스템을 통해

파일을 암호화하거나 삭제하도록 안내*만 하고 있어 개인정보가 단말기에 평문으로 보관 될 수 있고,

* 개인정보관리시스템에서 단말기 내 개인정보파일 탐지 후 알림 메시지 발송

회사의 인터넷 단말기에서 상용메일(OOO, OO 등) 및 웹하드(OOOOOO) 등

자료반출이 가능한 사이트에 대한 접속을 차단하지 않아 전산자료가 외부로 유출될 위험이 있으므로

단말기 내 개인정보파일은 암호화하여 보관하고 전산자료를 외부에 전송할 수

있는 사이트에 대한 통제를 강화하시기 바람

(4) 액티브디렉터리(AD) 서버의 정책변경 승인절차 미흡

회사는 액티브디렉터리(AD) 서버*를 통해 임직원 단말기의 비밀번호 설정 및 보조

기억매체 이용 통제 등 보안정책을 통합관리하고 있으나,

* 원격에서 윈도우 단말기의 보안 및 환경 설정을 통합하여 관리‧제어할 수 있는 서버

임직원이 액티브디렉터리(AD) 서버 담당자에게 메일을 통해 단말기 보안정책

변경을 요청하는 등 정책 변경에 대한 별도 승인절차가 마련되어 있지 않으므로

액티브디렉터리(AD) 서버의 보안정책 변경을 위한 내부 승인절차를 마련하시기 바람

(5) 비상대응 모의훈련 운영 불합리

회사는 내규 ｢전자금융서비스 재해복구절차｣ 및 ｢서비스 업무연속성 계획서｣를

마련하고 연 1회 이상 비상대응 모의훈련을 실시하고 있으나,

OOOO.O.O. ~ OOOO.O.O. 기간 중 코로나19 및 대설 관련 방역·재설 훈련만

실시하고 시스템 중단상황 등에 대비한 서비스 복구 훈련은 실시하지 않아 비상상황별 대응절차 및 백업센터를 통한 복구절차 등이 적절하게 작동되는지 점검이 미흡하므로

시스템 중단상황 등의 다양한 비상상황 시나리오별 대응절차 및 서비스 복구절차를

검증할 수 있도록 모의훈련을 실시하시기 바람

(6) 정보처리시스템 성능관리 불합리

회사는 정보처리시스템을 OOOOOOO에 위탁·운영하면서 동사를 통해 시스템

및 네트워크의 성능·용량 분석을 분기별로 수행*하고 있으나

* OOOOOOO의 관리자가 시스템별 피크타임 기준의 성능·용량 상태 등에 대한 분석결과를 네이버파이낸셜의 담당자에게 송부

분기별 성능·용량 분석 시 최근 1개월간의 정보만을 분석하고 기간별 추이 분석

정보도 부족하여 신규 서비스 및 이벤트 실시 등을 위한 시스템 처리용량의 적정 여부를 확인하기 어려우므로

정보처리시스템 성능·용량 분석 시 직전 분기내 성능·용량 현황, 장애 발생·조치 현황

및 분기별 사용량 추이 등을 추가 분석하는 등 성능·용량 관리를 개선하시기 바람

(7) 정보처리시스템 장애처리 사후관리절차 미흡

회사는 장애관리시스템의 공지사항을 통해 장애처리절차 및 장애등급 분류기준

등을 관련 담당자에게 안내하고, 장애발생 시 동 시스템을 통해 장애기본정보, 보고서, 장애확인 등을 관리하고 있으나,

OOOO.O.O. ~ OOOO.O.O. 기간 동안 장애관리시스템에 등록된 OO건의 장애 중

전자금융사고관리시스템에 보고된 O건의 장애처리 현황이 장애관리시스템과 상이*하게 관리되고 있는 등 장애처리에 대한 사후관리가 미흡하므로

* 장애관리시스템의 장애단계는 ‘①접수대기 → ②복구중 → ③보고서작성 → ④재발방지 → ⑤장애종료’로 관리하고 있으나, ‘⑤장애종료’ 상태가 아닌 장애처리 중간단계(‘③보고서작성’, ‘④재발방지’)의 장애건에 대해 전자금융사고관리시스템에 ‘완료보고’로 처리하고 있음

정보처리시스템 장애처리 운영절차를 개선하고, 장애처리 종료 후 재발방지방안의

이행여부 등을 정기적으로 점검하는 등 장애관리 업무를 철저하게 수행하시기 바람