삼성카드주식회사 금감원 경영유의사항 · 2016-10-19

경영유의사항·개선사항 공개안

경영유의사항·개선사항 공개안

1. 금융기관명 : 삼성카드(주)

2. 제재조치일(검사서 통보일) : 2016. 10. 19.

3. 제재조치내용

제재대상

제재내용

기 관

경영유의사항 1건, 개선사항 2건

제재대상

제재내용

기 관

경영유의사항 1건, 개선사항 2건

4. 제재대상사실

가. 경영유의사항

(1) 재해복구전환 훈련 실효성 제고 필요

□ 핵심업무에 대해 재해복구 시스템을 갖추고 있으며 2015.2월 차세대 기간계 시스템 가동 이후 두 차례(2015.9월 및 2016.7월)의 재해복구전환 훈련을 실시하였으나, 재해복구전환 훈련 시 대외 연계 테스트가 다소 부족하고, 주전산센터(OO)에서 재해복구센터(OO)까지의 이동시간을 고려하지 않고 복구목표 시간을 설정하였으며, OOOOO시스템 등 일부 시스템을 제외하고 전환 훈련을 실시하는 등 불합리한 부분이 있으므로 전산센터 이전 및 실제 재해 상황에서도 업무지속성이 확보될 수 있도록 재해복구훈련 계획서 및 시나리오 등을 보완하는 등 재해복구전환 훈련의 실효성을 제고할 필요

나. 개선사항

(1) 테스트데이터 변환‧사용 통제절차 불합리

□ ｢개발계 데이터관리 가이드｣에 따라 테스트 시 주요 이용자 정보에 대해서는 데이터변환 시스템을 통해 변환·사용하고, 삭제 여부는 ‘사용부서 결재자’가 관리·감독하도록 절차를 마련하고 있으나, OOOO, OO, OOOO 등 일부 이용자정보의 경우 데이터를 변환하지 아니하고 데이터 삭제 여부에 대한 관리·감독 절차를 구체적으로 마련하지 않아 테스트 데이터의 삭제가 누락될 우려가 있으므로 테스트데이터 변환 대상을 확대·운영하고 내규에 테스트데이터 삭제 여부에 대한 확인절차를 구체적으로 마련하여 운영할 필요

(2) 정보처리시스템 암호화 통신 관리 불합리

□ 내부 사용자가 정보처리시스템 접속 시 안전하지 않은 서비스(OOOOOO, OOO)를 일부 사용하고 있어 송·수신 데이터가 네트워크 도청(Sniffing)에 의해 노출될 우려가 있으므로 내부 사용자가 정보처리시스템 접속 시 송·수신 데이터를 암호화하여 전송하는 안전한 서비스(OOO, OOOO 등)를 사용하도록 접속 방식을 변경하는 등 암호화 통신 방식을 개선할 필요