삼성카드 금감원 경영유의사항 · 2018-11-20

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 삼성카드㈜

2. 조치일 : 2018. 11. 20.

3. 조치내용

대상

내 용

기관

경영유의 2건, 개선 6건

대상

내 용

기관

경영유의 2건, 개선 6건

4. 조치대상사실

가. 경영유의사항

(1) 이사회 및 이사회내 위원회 운영 투명성 제고

㉮ 이사회 및 이사회내 위원회 의사록 기록 관리 강화 ｢상법｣ 및 내부규정에 따라 이사회 및 이사회내 위원회의 의사록을 작성하고 있으나 이사회 및 위원회별 의사록을 살펴보면 개최일시, 참석자, 안건명, 결의여부만 기재되어 있고, 이사 또는 위원들의 발언 내용이 실질적으로 기재되어 있지 아니하여 의사결정 경위 및 책임소재 파악 등이 곤란하므로 앞으로 이사회 및 이사회내 위원회의 의사록 작성시 논의 내용이 구체적으로 기록될 수 있는 방안을 강구할 필요가 있음 ㉯ 경영위원회 운영 내실화

｢정관｣에 따라 이사회가 위임한 사항 및 기타 일상 경영사항을 심의·의결하기 위하여 경영위원회(사내이사 2명으로 구성)를 설치․운영하고 있으나, 경영위원회에 부의되는 사항이 불명확하여 이사회와 경영위원회에 중복 부의된 사례가 있으므로 앞으로 효과적인 회의운영을 위해 이사회 부의사항과 경영위원회 부의사항을 명확하게 구분하는 등 경영위원회 운영의 효율성을 제고할 필요가 있음

(2) 수의계약에 대한 적정성 확인 절차 강화

내규 ｢계약사무처리지침｣에 의하면 외부업체와 계약을 체결하고자 하는 경우 경쟁입찰 방식을 원칙으로 하되 예외적으로 계약의 목적, 성질, 규모 등을 고려하여 수의계약이 가능한 경우를 규정하고 있으나 2017년 OOOO과 종합광고 대행사 계약 체결시 기존 계약에 대한 연장계약임을 이유로 수의계약을 체결하고, 2016년 OOO과 본관 레이아웃 변경공사 계약 체결시 품의서에 기재된 수의계약 사유가 동 지침이 정한 수의계약 가능 사유가 아님에도 수의계약으로 체결된 사례가 있었으며 또한 ｢정관｣ 등에 따라 자회사 또는 계열회사 등과의 50억원 이상의 거래에 대해 사전 심의․의결을 목적으로 ‘내부거래위원회’를 설치․운영하고 있고 있으나, 2017.1.24. 개최된 내부거래위원회에서 ㈜제일기획과 광고대행계약 체결*시 수의계약 체결의 적정성에 대한 심의를 누락한 사례가 있으므로

* 2015년 광고대행업무와 관련하여 최초 계약 체결시에만 경쟁입찰로 진행

앞으로 상품·용역 구매시 경쟁입찰을 원칙으로 하되 수의계약으로 체결할 경우 수의계약의 적정성을 검토할 수 있도록 관련 내부통제 및 내부거래위원회의 심의를 강화할 필요가 있음

나. 개선사항

(1) 유가증권 투자 관련 내규 불합리

｢주식투자지침｣ 및 ｢자금운용지침｣에 따라 유가증권 매입 및 처분 등과 관련한 업무를 수행하고 있으나 ｢주식투자지침｣에서는 주식에 대한 총 투자한도, 투자대상, 평가 관련 사항을 간략히 규정하고 있고 ｢자금운용지침｣에서는 운용가능 상품 등만을 규정하고 있을 뿐 채권 투자에 대한 지침이 없는 등 효율적인 유가증권 투자를 위해 체계적으로 정한 내부규정이 없으므로 앞으로 유가증권 투자업무 관련 리스크관리 강화를 위한 별도의 내부규정(예 : ｢유가증권투자규정｣)을 마련하여 유가증권 투자 관련 투자대상, 투자결정 절차, 보관, 평가, 매각 사유․절차 등을 체계적으로 규정하시기 바람

(2) 사규 제․개정권한 관련 내규 미흡

｢사규 운영 및 관리 지침｣에 의하면 ‘규정*’은 본부장 및 실장 이상, ‘지침**’은 담당 임원 이상에게 제․개정 등에 대한 전결권을 부여하고 있으나

* 규정 : 회사의 조직, 경영질서 및 업무실행에 관한 핵심적인 사항을 정한 기본원칙

** 지침 : 규정에 근거하여 업무를 수행하기 위해 필요한 방법과 절차 등 세부적 사항을 정한 기준 규정에 해당하는 사항을 ‘지침’으로 분류하여 담당임원의 전결로 운영한 사례*가 있고, 일부 규정의 경우 별도로 정함이 없는데도 담당임원(상무)의 전결로 운영된 사례**가 있으므로

* ｢자금운영지침｣, ｢주식투자지침｣

** ｢개인정보보호관리규정｣, ｢신용정보관리규정｣을 정보보안담당 임원이 전결

｢안전보건관리규정｣은 인사담당 임원 전결

앞으로 사규의 체계적 관리를 위해 원칙적으로 모든 사규(규정, 지침)의 전결권자를 본부장 및 실장 이상으로 운영하는 등 고위 경영진의 참여를 제고하는 방안을 마련하시기 바람

(3) 녹취데이터 소산관리 부적정

시스템 가동 로그, 운영체제, 시스템 주요 데이터 파일에 대하여 백업하고 있으며, 녹취 데이터의 경우 콜센터(서울시 구로구)에서 데이터센터(수원시 영통구) 내화금고로 소산을 하고 있으나 백업 관련 규정에 녹취 데이터에 대한 소산주기가 구체적으로 정의되어 있지 않아 녹취 데이터에 대한 소산이 일부 지연 수행되었으며 녹취 데이터 소산관리대장을 수기로 관리하면서 폐기 예정인 소산테이프와 함께 보관하는 등 녹취 데이터에 대한 소산관리가 미흡하므로 앞으로 관련 규정에 녹취 데이터에 대한 소산주기를 구체적으로 설정하고, 녹취데이터와 폐기 예정인 소산테이프를 분리․보관하는 등 녹취 데이터에 대한 소산관리 절차를 강화하시기 바람

(4) 배치프로그램을 이용한 데이터 변경 절차 미흡

장애 또는 오류 등에 의한 데이터 변경시 원장통제시스템(DB Inside)을 이용하여 변경 데이터를 상세하게 기록하고 작업 내용을 사후검증하고 있으나 대량의 데이터 변경작업을 일괄처리하기 위한 프로그램(배치프로그램)을 이용하는 경우에는 일반적인 프로그램 변경 절차를 따르고 있어 데이터 변경 내용에 대한 기록․관리 및 사후검증에 어려움이 있으므로 앞으로 배치프로그램을 이용한 데이터 변경시에도 변경 내용을 상세하게 기록․관리하고, 사후검증이 효율적으로 이루어지도록 데이터 변경 절차를 보완․개선하시기 바람

(5) 서버 보안관리 미흡

서버 관리 업무와 관련된 보안프로그램 운영상에 다음과 같은 불합리한 점이 있으므로 이를 합리적으로 개선하시기 바람

①서버 접근시 접근통제시스템(IT-Gate) 통해 사용자 계정․접근권한을 통제하고 서버 로그인시 추가인증(OTP) 절차를 적용․운영하고 있으며, IT운영자 PC에서 접근통제시스템(IT-Gate)에 최초 로그인(아이디, 비밀번호, 추가인증)을 한 상태에서 일정시간(5분 이상)을 미사용하는 경우 화면 잠금 상태로 전환하도록 보안 설정을 적용하고 있으나 동 화면잠금 상태를 해제시 해커가 추가인증 없이 서버에 접속이 가능한 보안취약점이 있으므로, 앞으로 접근통제시스템(IT-Gate)의 추가인증 기능을 강화하여 적용하시기 바람

② 서버 사용자 비밀번호의 경우 통합계정권한관리시스템(IT-DESK)에서 일괄 작업을 통해 분기별로 변경하고 있으나 동 시스템의 비밀번호 설정 방식*이 비교적 단순하고, 비밀번호 저장시 보안강도가 높지 않은 암호화 알고리즘(3DES)을 사용하고 있어 비밀번호 반복 대입공격(Brute Force Attack) 등 해킹에 노출될 우려가 있으며, 일부** 서버의 계정 비밀번호의 경우 보안강도가 낮은 기본 암호화 알고리즘(DES)으로 적용하고 있어 해킹 등에 의해 비밀번호가 노출될 가능성이 있으므로

* 총 8자리 비밀번호 중 2자리는 서버 명(Hostname) 일부를 차용하고, 나머지 6자리만 임의의 값으로 변경하도록 구현

** AIX, HP계열의 Unix 서버의 경우 DES 암호화 알고리즘을 사용하고 있고 Oracle, Redhat 계열 서버는 SHA-256 이상 암호화 알고리즘을 사용 앞으로 비밀번호 생성 규칙 및 암호화 알고리즘을 안전한 방식*으로 개선하는 등 서버 보안 관리를 강화하시기 바람

* 한국인터넷진흥원(KISA)의 ‘암호기술 구현 안내서(2013.12.)’에서 블록암호 알고리즘은 SEED, HIGHT, ARIA-128/192/256, AES-128/192/256 등 사용을 권장하고 있고, 비밀번호 등의 경우 SHA-224/256/384/512 등 해쉬함수 보안강도가 112비트 이상인 암호화 알고리즘 사용을 권장

(6) 기술지원 종료 운영체제(OS)에 대한 관리 소홀

검사착수일(2017.10.30.) 현재 형상관리시스템(Promise) 등 일부* 서버 및 PC에서 시스템에서 제조사(MS社)의 기술지원이 종료(2015.7.14., 2014.4.8. 종료)된 운영체제(Windows Server 2003 및 Windows XP계열)를 사용하고 있어 취약점 보완 및 기능 개선 등 작업이 어려워 신규 취약점을 이용한 침해사고 발생의 우려가 있으므로

* 서버 4대(CRMAP01W, PVCS02W, IMDB01W, DBSERVER), 콘솔접속용 PC 2대(FDSOS, TCONAP01), SAS/EDW용 가상화 PC 4대(CARD-DE04-220, CARDSBC01-012, CARD-DE04-023, CARD-DE01-108) 등 총 10대 앞으로 기술지원이 종료된 운영체제(OS)의 경우 업그레이드 버전을 설치하는 한편, 응용프로그램과의 호환성 문제로 업그레이드가 불가능한 경우 네트워크를 내부망과 분리하여 구성하는 등 관련 시스템을 개선하여 운영하시기 바람