동부저축은행 금감원 경영유의사항 · 2016-08-01

경영유의 및 개선사항 공개

1. 금융기관명 : (서울)동부저축은행

2. 제재조치일 : 2016. 8. 1.

3. 제재조치 내용

대상

내용

기 관

경영유의사항 2건, 개선사항 2건

대상

내용

기 관

경영유의사항 2건, 개선사항 2건

4. 제재대상사실

가. 경영유의사항

(1) 재해복구시스템 구축 강화

검사착수일(2015.10.5.) 현재 여신․수신 등 핵심업무에 대해서는 재해복구시스템을 구축․운용하고 있으나 체크카드 업무에 대해서는 재해복구시스템을 구축하지 않아 전산 장애․재해 등 긴급상황 발생시 체크카드 업무 중단 등으로 인한 고객 불편이 초래될 수 있으므로 앞으로 체크카드 업무에 차질이 발생하지 않도록 재해복구시스템을 추가로 구축․운용하는 등 긴급상황에 대응하기 위한 재해복구시스템 운영을 강화할 필요가 있음

(2) 전산 외주업체 등에 대한 통제 강화

(가) 전산서버 및 네트워크 장비 등을 ㈜○○에 위탁하여 설치․운영하고 있으나, 다른 위탁업체의 전산장비와 별도의 분리시설 없이 같은 서버실에서 운영․관리되고 있어 외부인의 접근 및 침해 발생으로 인한 전산자료 유실 등의 가능성이 있으므로 앞으로 동 전산장비에 대한 별도의 통제시설 및 시건장치 등을 마련토록 할 필요가 있음 (나) 전산서버와 네트워크에 대한 운영업무를 ◎◎◎◎◎◎◎㈜에 위탁하고 매월 정기보고서 등을 통해 위탁 운영의 적정성을 점검하고 있으나, 장비 성능 위주로만 적정성을 점검하고 있어 외주업체가 수행하는 서버변경작업 등에 대한 통제가 미흡하므로 앞으로 외주업체의 정기 보고시 서버변경 작업 등과 관련한 작업로깅분석, 접근로깅분석 내용을 포함토록 하는 등 전산 외주운영업체 등에 대한 통제를 강화할 필요가 있음

나. 개선사항

(1) 프로그램 변경통제 미흡

내규인 ｢IT운영업무 관리규정｣ 등에 따라 전산 프로그램 등록․변경․폐기 절차를 수립하고 프로그램 변경 내용을 자동으로 관리하는 프로그램 변경통제 시스템을 운영하고 있으나 매일 일괄작업으로 최종 변경된 프로그램만 보관하여 일 2회 이상 변경․적용된 프로그램은 중간 변경된 프로그램을 보관하지 않고 있으며, 오류수정․기능개선 등의 사유로 현업부서의 요청 문서없이 IT부서 자체적으로 프로그램을 변경하는 등 프로그램 변경 근거문서 관리가 미흡하므로 앞으로 프로그램 변경 적용시마다 프로그램 변경 전후 내용을 기록하고 변경요청 근거를 필수항목으로 지정하는 등 프로그램 변경 통제 절차를 개선할 필요가 있음

(2) 비밀번호 암호화 대책 미흡

이용자의 계좌 비밀번호를 암호화하여 보관하고 있으나, 암호화체계에 적용되는 알고리즘의 종류·수준 등에 대한 정보없이 소스만 보유하고 있어, 동 암호화 알고리즘의 보안강도를 확인할 수 없으므로 앞으로 비밀번호 암호화 알고리즘에 대한 적정성 여부를 점검하고 미래창조과학부에서 권고하는 보안강도 이상의 암호화 알고리즘을 적용토록 관련 업무를 개선하시기 바람