주식회사 코밴 금감원 경영유의사항 · 2017-06-14

경영유의사항 등 공시

경영유의사항 등 공시

1. 금융회사명 : ㈜코밴

2. 제재조치일 : 2017. 6. 14.

3. 제재조치내용

대상

내용

기 관

경영유의 2건, 개선 1건

대상

내용

기 관

경영유의 2건, 개선 1건

※ 조치내용 중 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치요구사항

가. 경영유의사항

(1) 단말기 개통 관련 표준계약서 관리·운용 철저

단말기 설치 가맹점 모집시 자사 소속 가맹점모집인에게 자체표준계약서("㈜코밴 가맹점 가입신청서")를 작성·배포하고 있으나 표준계약서 회수 및 이용에 대한 관리·통제가 미흡하여 표준계약서의 이용률이 저조하고 가맹점모집인이 전체 주민등록번호 기재란이 포함된 계약서 양식을 임의 사용하는 경우 가맹점모집인에 의해 수집된 가맹점주의 개인정보가 유출될 위험이 있으므로 앞으로 가맹점모집인이 무단으로 가맹점주의 개인정보를 수집하지 않도록, 표준계약서 사용 활성화 방안을 마련‧운영할 필요가 있음

(2) 전산자료 소산 관리 강화

중요 전산자료를 주전산센터에 백업하고 소산보관시설로 소산하고 있으나, 주전산센터와 소산보관시설이 근거리(직선거리 약 1.8km)에 위치하여 지진, 재난 등의 재해발생시 전산자료가 멸실될 우려가 있고 소산을 위한 절차 및 주기, 전담인력 등 구체적인 지침이 미흡하여 재해발생에 대한 적시대응이 곤란할 우려가 있으므로 앞으로 주전산센터로부터 원격지에 소산보관시설을 이전하여 운영하고 재해발생시 적시에 복구가 이루어 질 수 있도록 체계적인 소산절차 및 주기 등을 마련하여 운영할 필요가 있음

나. 개선사항

(1) 정보처리시스템 및 전산자료 보호대책 불합리

㈎ 데이터베이스 접근통제 및 전산원장변경 절차 개선 데이터베이스에 대한 접근통제 및 이력 등을 관리하기 위해 데이터베이스 접근통제 솔루션을 설치·운영하고 있으며, 데이터베이스 이용자 계정 관리를 위하여 ‘사용자 관리대장’을 두고 있으나,

① 사전에 담당 업무에 따라 필요한 최소한의 데이터베이스 접근 권한을 정의하지 않고 임의로 부여함에 따라 실제 데이터베이스를 사용하지 않는 IT인력에게도 불필요하게 권한을 부여하였으며

② 보안팀장 등 제3자가 아닌 데이터베이스관리자(DBA: Data Base Administrator)가 직접 데이터베이스 접근통제 솔루션을 관리하고 있어 데이터베이스에 대한 접근통제 장치가 무력화 될 우려가 있고

③ 중요 데이터인 전산원장 변경 시 조작자의 실수 등을 방지하고 데이터를 검증할 수 있는 구체적인 절차가 미흡하여 자료의 정합성이 저하될 우려가 있으므로, 데이터베이스 접근권한 부여를 최소화하고, 보안팀장 등 제3의 관리자가 독립적으로 데이터베이스 접근통제 솔루션을 관리하도록 개선하는 한편, 전산원장변경 통제에 대한 제3자 검증 등 구체적인 원장 변경절차를 마련하여 운영하시기 바람 ㈏ 전산자료 보호대책 불합리

내부자료 유출방지를 위한 데이터유출방지 솔루션을 도입하고 있으나, 보조기억장치에 패스워드를 설정하지 않고 비인가 보조기억장치가 자동으로 DLP 시스템에서 차단되지 않으며, 외부 상용메일(Gmail, Daum, Naver 등) 서비스를 차단하지 않고 있어 내부자료의 유출 가능성이 여전히 상존할 뿐 아니라, 데이터유출방지 솔루션을 통한 자료 반출에 대한 구체적인 점검 기준 및 절차가 마련되어 있지 않고 반출자료를 모니터링 하지 않는 등 실질적인 통제가 미흡하므로, 보조기억장치에 패스워드를 설정하고 비인가 장비 및 상용메일은 차단하고, 데이터유출방지 솔루션을 통한 자료반출에 대한 구체적인 점검 기준 및 절차를 마련하는 한편, 반출자료에 대해 주기적으로 모니터링을 실시하는 등 내부정보유출 통제절차를 강화하시기 바람 ㈐ 정보보안프로그램 설치․통제 불합리

검사착수일(2016.9.20.) 현재 내부자료의 유출을 방지하고 정보처리시스템의 보호를 위하여 단말기에 백신프로그램 등 정보보안 프로그램을 설치 및 운영하고 있으나, 동 프로그램의 가동 여부를 실시간으로 모니터링 할 수 있는 방안을 마련하지 않아 단말기에서 임의로 정보보안 프로그램이 삭제되거나 비정상 작동하는 경우 해당 정보보안 통제기능이 무력화 될 우려가 있으므로 단말기에 정보보안 프로그램의 설치 여부를 점검하고 미설치시 네트워크 접속을 제한하는 등 정보보안프로그램 설치·통제절차를 개선하시기 바람