신한금융투자 주식회사 금감원 경영유의사항 · 2018-02-06

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 신한금융투자㈜

2. 조치일 : 2018. 2. 6.

3. 조치내용

대상

내용

기 관

개선사항 6건

대상

내용

기 관

개선사항 6건

4. 조치대상사실

가. 개선사항

(1) 외부주문 프로젝트에 대한 품질 관리 강화

내규 ｢IT업무매뉴얼｣에 따라 외부주문 프로젝트에 대하여 프로젝트 기간 및 투입 공수(Man/Month), 사업규모 등에 따라 1~4등급으로 나누고 2등급(6개월이상, 60MM이상, 10억원 이상) 이상으로 분류된 외주프로젝트에 대하여 품질관리절차(Quality Assurance, QA)를 적용하고 있으나, 검사대상기간 중 수행한 대부분의 외주프로젝트가 3등급(3~6개월, 30~60MM, 10억원 이하)에 해당하고, 3등급 이하 프로젝트에 대해서는 프로젝트 관리자(PM)와 QA조직이 협의하여 품질관리절차를 일부 생략할 수 있는 등 외주 프로젝트에 대한 품질관리가 미흡하므로 외주 프로젝트에 대하여 품질관리 적용대상을 확대하는 등 실효성 있는 품질 관리가 되도록 관련 업무를 강화할 필요가 있음

(2) 공동 운영 가상사설망에 대한 관리 강화

IT부서 직원 64명이 야간 또는 공휴일에 서비스 장애처리 등을 위해 외부에서 정보처리시스템에 접속 시 가상사설망(Virtual Private Network, VPN)을 통하여 내부망에 접속하여 업무를 수행하고 있으나 외부 PC에서 가상사설망(VPN) 접속 후 이용하는 공동 운영 VDI(데스크탑가상화, Virtual Desktop Infrastructure) 3대와 관련하여, 동 공용 VDI에 설치된 보안프로그램이 일부 제대로 동작하지 않는 등 보안 관리가 미흡하므로 IT부서 직원들의 가상사설망 접속시 공동으로 이용하는 운영 VDI에 대하여 보안프로그램이 정상적으로 작동되게 하는 등 보안 관리를 강화할 필요가 있음

(3) 프로그램 개발시 제3자 검증 절차 강화

현업부서에서 프로그램 개발요청을 하는 경우 IT부서에서 개발 및 테스트를 진행하고, 프로그램 개발 및 테스트 완료시 프로그램 검증을 현업부서에서 실시(UAT : User Acceptable Test) 하고 있으나, IT부서 자체적으로 프로그램 개발의뢰 및 개발 완료를 하는 경우에는 개발자가 개발의뢰, 개발이행 및 테스트를 수행하게 되어 제3자 검증이 누락되는 결과가 초래될 수 있으므로 IT부서 자체적으로 개발의뢰한 프로그램에 대하여 제3자 검증절차를 반드시 거치도록 하는 등 프로그램 등록 및 변경 절차를 강화할 필요가 있음

(4) 모바일 앱 개발 및 배포 단말기에 대한 관리 통제 강화

모바일 앱 개발 및 앱 배포시 망분리 적용에 따라 Mac PC(11대)를 내부망과 분리된 외부 인터넷망에 연결하여 사용하고 있으며, Mac PC에 Mac용 보안솔루션을 설치하여 매체제어 등 내부정보 유출에 대한 통제를 실시하고 있으나 Mac PC에 악성코드 탐지가 가능한 보안 프로그램이 설치되어 있지 않아 악성코드에 감염될 경우 소스코드 등 중요자료가 유출될 수 있으므로 모바일 앱 개발 및 배포시 앱 개발 단말과 배포 단말을 분리하여 사용하도록 하고, 앱 배포용 PC에는 소스코드 등 중요자료를 보관하지 않도록 하며, 앱 배포에 필요한 인터넷 사이트에 한정하여 접속을 허용하는 등 관리통제를 강화할 필요가 있음

(5) 내부사용자의 데이터베이스 패스워드 관리 미흡

고객정보 및 거래정보 등이 포함된 데이터베이스에 대한 내부 사용자의 데이터베이스 패스워드를 데이터베이스 접근제어솔루션 및 데이터베이스 관리시스템을 통하여 적절히 통제하고 있으나, 일부 보안솔루션에 설치된 데이터베이스는 데이터베이스 접근제어 솔루션이 적용되지 않아 내부 사용자의 데이터베이스 접속시 패스워드 관리가 되지 않는 등 미흡하므로 문서보안솔루션 등 일부 보안솔루션에 데이터베이스 접근제어 솔루션을 적용하여 패스워드를 관리하거나, 솔루션 적용이 불가능한 경우에는 별도의 패스워드 정책을 적용하고 주기적으로 패스워드를 변경하는 등 내부 사용자의 데이터베이스 패스워드에 대한 관리를 강화할 필요가 있음

(6) 기술지원이 종료된 운영체제에 대한 관리 강화

고객지원센터 운영·개발, 방화벽 관리, 메일·메신저 모니터링 등을 목적으로 사용중인 OO대의 서버에서 기술지원이 종료된 운영체제를 사용하고 있어 제조사의 기술지원을 더 이상 받지 못하는 등 신규 취약점을 이용한 해킹 및 악성코드 등에 노출될 수 있으며, 방화벽 등 보안관련 시스템 O대의 경우 제조사가 폐업됨에 따라 기술지원이 더 이상 어려워져 시스템 장애 발생시 복구가 어려워질 우려가 있으므로 기술지원이 종료된 운영체제가 탑재된 시스템에 대해서는 운영체제를 업그레이드 하거나 시스템을 교체하고, 매년 노후화된 서버에 대하여 교체 여부를 검토하여 시스템을 교체하는 등 정보처리시스템의 안정적인 운영이 필요함