이베스트투자증권(주) 금감원 경영유의사항 · 2019-05-24

경영유의사항 등 공개안

1. 금융회사명 : 이베스트투자증권(주)

2. 조치일 : 2019. 5. 24.

3. 조치내용

대상

내용

기관

경영유의사항 2건, 개선사항 2건

4. 조치대상사실

가. 경영유의사항

(1) 재해복구용 핵심업무 선정 절차 및 백업자료 검증 강화

(가) 재해복구용 핵심업무 선정 절차 관리 강화 업무연속성을 확보하기 위해 『금융전산 분야 위기대응 행동매뉴얼」에서 핵심

업무를 선정하고 있으나,

동 핵심업무를 관계 부서간 협의 등 전사적 차원에서 선정하지 않고 IT 등

일부 담당자만 참석하여 선정하였으며, 핵심업무 선정현황에 '등'이라는 표현이 포함되어 있어 핵심업무에 대한 구분이 명확하지 않는 등 핵심업무 선정 절차가 다소 미흡하므로

관계 부서간 협의를 통해 업무현황 조사 및 업무중요도 분석 절차를 진행하여

핵심업무를 재선정하고, 주기적으로 핵심업무 선정의 적정성을 확인하도록 관련 내용을 내규에 반영하는 등 핵심업무 선정 절차 관리를 강화할 필요가 있음

(나) 백업자료 검증 강화

전산자료의 유출, 파괴 등을 방지하기 위하여 주문내역, 체결내역을 백업하고

연 O회 백업자료의 무결성을 검증하고 있으나,

AA, 000 Qㅁ, 트ㅌ 백업자료에 대해서는 검증을 실시하지 않고 있으므로 무결성을 검증하는 백업자료의 범위를 확대하는 등 주요 백업자료의 정합성

검증을 강화할 필요가 있음

(2) 전산부서 IT자체감사 기능 강화

「IT자체감사지침』에서 정기감사는 연 1회, 일상감사는 주요 변경사항 발생 시,

수시감사는 IT부문 임원의 요구사항이 있는 경우 실시하도록 규정하고 있으나,

2018년에는 정기감사를 실시하지 않았고, 프로그램 변경통제, 접근권한 부여 및

관리의 적정성 등 주요 변경사항에 대해 일상감사 등 IT자체감사를 실시하지 아니하였고,

00.. .... 찌찌 뜻 변경제 등 IT서비스관리시스템의 승인을

통하지 않고 변경처리를 하는 경우 그룹웨어의 업무보고 형태로 승인 처리하고 있어 일부 승인 및 변경처리 통제절차가 누락될 우려가 있으므로

앞으로 정기감사가 누락되지 않도록 철저히 실시하고, 주요 변경사항에 대해 IT

자체감사가 이루어지도록 점검대상 및 범위를 확대할 필요가 있으며, ITSM의 승인을 통하지 않고 변경처리 하는 업무들에 대해서는 일상감사 항목에 추가하여 운영하는 등 IT자체감사 기능을 강화할 필요가 있음

나. 개선사항

(1) 단말기 보안 통제 불합리

① 모바일 앱 개발 업무를 수행하는 채널서비스팀 직원 ㅁ명에게 000 운영체제를

탑재한 PC를 지급하고 모바일 앱 개발 및 배포시 OOC>에 연결하여 사용하고 있으나,

동 PC에는 백신 등 악성코드 탐지를 위한 추가적인 보안 솔루션이 설치되지 않아

악성코드에 감염될 경우 및 스스A스 A스A 등 중요 정보가 유출될 우려가 있으므로

모바일 앱 개발용 PC와 배포용 PC를 분리하고, 배포용 PC에서는 앱 배포시

필요한 <XX에 한정하여 접속을 허용하는 등 단말기 보안통제를 개선하시기 바람

② 「개인전산장비 보안지침』에 따라 DDD 구매·사용시 해당 부서 본부장 승인을

받고, DDD에 백신, 문서보안솔루션, 매체제어솔루션 등 보안솔루션을 설치하여 보안 통제 등을 실시하고 있으나,

DDD 사용 신청시 해당 부서장 외에 보안담당자가 DDD 사용의 적정성 검토를

하지 않아 DDD을 통한 회사 내부정보의 노출이 우려되므로

임직원이 QDD을 사용하는 경우 보안담당자가 DDD 사용 필요성에 대한 적정성

검토를 사전 실시하는 등 ㅁDㅁ 보안 통제를 개선하시기 바람

③ 정보처리시스템 및 데이터베이스에 직접 접속하는 OO대의 단말기 중 관리자 권한으

로 업무를 처리하는 단말기 @대를 중요단말기로 지정하여, 일일 백신 점검을 통해 악성코드 감염여부를 점검하고, 외부 반출, 인터넷접속 및 그룹웨어 접속 등을 금지하고 있으나,

사내 업무 협업 등을 위한 DDDDD 등의 접속을 허용하여 DDDDD를 통해 주요

전산자료 등이 유출될 우려가 있으므로

정보처리시스템에 직접 접속하는 중요단말기 @대에 대해 DDDDD에 접속할 수 없도록

통제 절차를 개선하시기 바람

(2) 모바일트레이딩시스템(MTS) 보안 관리 불합리

대고객 모바일트레이딩시스템(MIS)으로 「eBEST Mobile』, 「처음S」을 운영하고,

동 MIS의 보안성을 확보하기 위해 폰 임의개조 탐지 및 차단, 앱 무결성 검증기술 적용, 앱 취약점 점검 등을 실시하고 있으나,

분기 1회 블랙마켓사이트 등에서 유통되는 위•변조 앱을 대상으로 한 자체 모니터링

DDDD 등 트트트톱을 확인할 수 있는 자료가 없으며, MIS 접속시 00O 최종 DD 정보 확인기능을 제공하지 아니하여 이용자가 본인 또는 다른 이용자의 MIS 이용 < 〈를 확인할 방법이 없는 등 MTS에 대한 보안 관리가 다소 미흡하므로

위•변조 앱 모니터링 업무와 관련하여 그룹웨어 등에 ①DDWD 등 관련 자료를

등록하는 절차를 마련하고 이를 주기적으로 점검하는 등 관련 처리절차를 마련•운영하고, 000 최종 <CXCO 확인 기능을 제공하는 등 MIS에 대한 보안 관리를 개선하시기 바람