신한금융투자 주식회사 금감원 경영유의사항 · 2016-12-05

경영유의사항 등 공개안

1. 금융기관명 : 신한금융투자(주)

2. 조치일 : 2016. 12. 5.

3. 조치내용

대상

내 용

기 관

경영유의 1건, 개선사항 3건

임 원

직 원

대상

내 용

기 관

경영유의 1건, 개선사항 3건

임 원

직 원

※ 조치내용 중 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치대상사실

가. 경영유의사항

(1) 취약점 분석·평가 결과에 대한 조치이행 업무 강화

(가) 취약점 분석·평가 조치이행 미흡

취약점 분석·평가 결과 반복적으로 발견되는 일부 취약점은 정보처리시스템의 기능개선 또는 변경작업시 인지 및 조치를 통해 해결할 수 있음에도 익년도 취약점 점검시까지 조치를 취하지 않는 등 취약점 분석․평가 결과 나타난 취약점 등을 조기에 해결하기 위한 조치이행이 미흡하므로 시스템 기능개선 또는 변경 작업시 인지 및 조치를 통해 해결 가능한 취약점 등은 시스템 작업 관련 점검항목 등에 포함하여 점검시 조치이행하도록 하는 등 취약점 조치이행 업무를 강화하시기 바람 (나) 보안관련 기술적 취약점 사후관리 미흡 내규 ｢정보자산 보안관리지침｣에 따르면 취약점 분석·평가 결과 발견된 기술적 취약점은 즉시 또는 3개월 이내에 조치하는 것을 원칙으로 하고 있음에도 IT정보부 등 조치 이행부서에서 일부 취약점에 대한 조치이행 및 결과보고를 지연함으로써 취약점이 장기간 방치되는 등 취약점 조치 결과에 대한 관리가 미흡하므로 취약점에 대해 불가피한 사유가 없는 한 3개월 이내에 조치하고, 조치결과를 주관부서에 신속하게 보고하도록 하는 등 취약점 분석·평가 결과에 대한 사후관리를 강화하시기 바람 (다) 개인정보탐지 솔루션 점검 미흡

취약점 분석·평가 및 매월 정보보안 점검시 DMZ구간에 이용자정보 등 중요정보의 저장 여부를 점검하고 있으나, 점검방법이 미흡하여 고객정보 등이 저장되었음에도 이를 발견하지 못하는 등 취약점 점검 업무가 미흡하므로 DMZ구간의 이용자 정보 등 중요정보에 대한 취약점 점검 방법을 개선하는 등 관련 업무를 강화하시기 바람

나. 개선사항

(1) IT자체감사 및 외주업체 감사 불철저

IT관련 내규를 규정, 지침, 매뉴얼 등으로 구분하여 마련하고, 회사 업무 포털에 게시하여 운영하고 있으나 전산센터 이전(2014.5월 완료) 사항이 ｢재해복구센터운영절차｣에 반영되지 않는 등 최근 2년간 IT업무와 관련한 변경사항이 내규 등에 적절하게 반영되지 아니하는 등 IT부문 내규 관리가 미흡하므로 앞으로 IT업무의 변동사항 등이 적시에 내규에 반영될 수 있도록 관련 내규에 대한 관리업무를 강화하시기 바람

(2) 백업 전산자료 검증 업무 미흡

재해 등에 의한 전산자료 유실을 방지하기 위해 전산자료 백업 및 소산을 실시하고 백업 자료의 오류발생 여부 등을 검증하기 위하여 반기별로 복구테스트 등 유효성 검증을 실시하고 있으나 복구테스트 등 검증 대상 선정 기준이 마련되어 있지 않고, 고객 및 거래 원장 DB 등 중요백업자료에 대한 복구테스트가 한 차례도 실시되지 않는 등 검증 업무가 미흡하므로 앞으로 고객 및 거래 관련 원장 DB 등 중요 백업자료에 대한 복구테스트 등 유효성 검증이 실시되도록 중요도를 감안하여 검증대상 선정기준을 마련하는 등 백업 자료의 검증 업무를 개선하시기 바람

(3) 문서보안 등 관리용 서버 보안 강화

전자금융거래와 관련된 업무용 서버에 대해서는 정기적으로 보정작업을 실시하고 있으나 검사착수일(2016.9.5.) 현재 관리용 서버 5대는 기술지원이 종료된 운영체제를 사용중으로 보정작업을 더 이상 할 수 없어 보안상 취약점 등을 이용한 악성코드 등에 의한 침해에 노출될 우려가 있으므로 기술지원이 종료된 운영체제를 조속히 교체하는 등 보안통제 강화를 위한 구체적인 계획을 수립·이행하시기 바람