엔에이치엔페이코㈜ 금감원 경영유의사항 · 2022-03-07

경영유의사항 등 공개안

1. 금융회사명 : 엔에이치엔페이코㈜

2. 제재조치일 : 2022. 3. 7.

3. 제재조치내용

4. 조치대상사실

가. 경영유의사항

(1) 전자금융 및 IT부문 업무 내부통제 강화

회사는 ‘선불전자지급수단 발행 및 관리업’ 및 ‘전자지급결제대행업(PG)’ 등 전자금융업을 영위하면서 회사의 경영지원, 인프라 관리 등의 업무를 OOOO에 위탁하여 운영하고 있으나,

회사 내 내부통제를 담당하는 조직·인력이 없어 위탁된 업무의 적정성 검토 및 통제가 어렵고 업무책임 소재가 명확하지 않으며, 망분리 이행 위반 등 전자금융 및 IT부문 업무 전반에서 미흡한 사항이 발견되었으므로

전자금융 및 IT부문 업무(업무위탁 포함)에 대한 적정성, 준법성을 주기적으로 점검·통제 할 수 있도록 전담 인력을 지정하거나 IT감사 및 준법감시를 회사 내 별도 조직을 구성 하는 등 내부통제 체계를 강화할 필요가 있음

나. 개선사항

(1) 전자금융거래 변경약관 통지방법 불합리

회사는 전자금융거래 약관 변경 시 그 시행일 1월 전에 전자금융서비스에 가입된 모든 이용자에게 약관 변경사실을 통지하여야 하고, 이용자가 이의를 제기할 경우 이용자에게 적절한 방법으로 통지하였음을 확인해주어야 하나

약관 변경사실을 페이코앱 알림(PUSH방식)으로만 통지하고 있어 페이코앱 미사용자*에게는 통지를 누락하고 통지이력도 기록하지 않고 있으므로

* 인터넷 웹 이용자 혹은 페이코앱을 삭제한 이용자

페이코앱 미사용자에게도 빠짐없이 약관 변경사실을 통지하고 이용자가 약관변경 내용을 확인 할 수 있도록 휴대폰 문자메시지, 전자우편 등 추가 통지방법을 마련하고 이에 대한 통지 이력을 기록․관리하는 등 관련 절차를 개선하시기 바람

(2) 이용자 포인트 소멸에 대한 안내절차 불합리

회사는 이용자의 무상 적립포인트에 대한 소멸예정 포인트, 소멸시기 등 포인트 소멸 관련 내용을 회원에게 안내하고 있으나

포인트 소멸 안내를 페이코앱 알림(PUSH방식)으로만 안내하고 있어 페이코앱을 사용 하지 않는 경우 이용자가 포인트 소멸 안내를 받지 못해 소멸 포인트 반환 관련 민원이 자주 발생하고 있으므로

모바일앱 알림 방식으로 소멸 안내를 받지 못한 이용자에게 포인트 소멸 내용을 휴대폰 문자메세지, 전자우편 등 추가적인 방법으로도 안내할 수 있도록 관련 절차를 개선 하시기 바람

(3) 이용자 포인트 환급절차 불합리

회사는 현금처럼 사용가능한 선불전자지급수단을 통해 이용자에게 충전, 결제, 선물, 환급 등의 전자금융서비스를 제공하고 있으나

이용자가 선불전자지급수단에 기록된 잔액(충전포인트)을 환급 요청시 내부 정산절차에 따라 익영업일 OO시에 환급하고 있어 환급 지연과 관련한 민원이 다수 발생*하고 있으므로

* OOOO.O월중 접수된 포인트 환급 불만 민원 건수 : OO건

선불전자지급수단의 환급시간을 단축하여 이용자의 편의성을 제고할 수 있도록 관련

절차를 개선하시기 바람

(4) 가맹점 결제대금 정산 안내절차 불합리

회사는 가맹점 결제대금을 정산주기에 따라 정산관리시스템을 통해 지급하고 있으나

가맹점 폐업, 통장 사본 등 증빙서류 미비로 인해 OOO개 가맹점의 결제대금이 지급되지 않고 있으므로

미지급된 결제대금에 대해 가맹점에게 주기적으로 안내하고 지급 기준을 마련하는 정산관리 절차를 개선하시기 바람

(5) 가맹점 계약 체결시 확인절차 미흡

회사는 선불전자지급수단 발행·관리, 전자지급결제대행 등의 업무와 관련하여 가맹점 계약 체결시 웹사이트 운영여부, 사업자등록증 등을 통해 영업여부를 확인하고 있으나

가맹점 결제대금 지급을 위한 통장사본 등 일부 부속서류를 결제대금 정산시점에 확인 후 지급하고 있어 부속서류를 제출하지 않은 일부 가맹점의 경우 제출이 완료될 때까지 결제대금 지급이 지연될 수 있으므로

가맹점 계약 체결시 결제대금 지급에 필요한 통장사본 등 부속서류를 확인한 후 계약을 체결하도록 개선하시기 바람

(6) 선불전자지급수단 운용방식 미흡

회사는 선불전자지급수단을 발행·관리하면서 선불전자지급수단을 통한 간편송금

(‘PAYCO 송금’) 서비스를 제공하고 있으나

이용자가 간편송금 서비스를 이용하는 경우 ‘송금 이용 내역’ 및 ‘송금 확인증’에서 충전 계좌(PAYCO 서비스에 등록된 본인 명의의 은행 또는 증권계좌)에서 선불전자지급수단을 충전한 거래기록을 확인할 수 없으므로*

* 송금인 및 수취인 정보만 조회 가능

이용자가 PAYCO송금 서비스를 이용하는 경우에도 선불전자지급수단 충전 거래내역을 조회할 수 있도록 시스템을 개선하시기 바람

(7) 침입차단시스템(방화벽) 정책관리 미흡

회사는 해킹 등 침해사고를 방지하기 위해 침입차단시스템(방화벽) 정책 운영 시 최소한의 서비스 번호(port)와 기능만을 적용하고 업무목적 이외에는 제거하여야 하나

신규 침입차단시스템(방화벽) 정책 등록 시 보안성 검토 없이 운영하였고, 침입차단시스템 (방화벽) 정책의 유효기간이 만료된 경우 동 정책의 추가 연장 필요성을 확인하지 않고 자동 연장하는 등 침입차단시스템(방화벽) 정책관리가 미흡하므로

침입차단시스템(방화벽) 정책 등록 시 정보보호팀에서 보안성 검토를 실시하고, 유효기간이 만료된 정책에 대해서는 월 1회 추가 연장 필요성을 검증하도록 내규를 개선하는 등 침입차단시스템(방화벽) 정책관리를 개선하시기 바람

(8) 기술지원 종료 운영체제 사용에 따른 보안통제 미흡

회사는 패치관리시스템(PMS)을 통해 정보처리시스템의 운영체제, 시스템 유틸리티의 보정 (patch) 작업을 관리하고 있으나

다수의 서버*가 제조사 기술지원이 종료된 운영체제를 사용하고 있어 새로운 보안 취약점이나 시스템 오류 등에 대한 대응이 미흡하므로

* 총 OOO대의 서버 중 OOO대(OO%)의 운영체제가 ’OO.OO월 기술지원 종료된 OOOOOO계열 기술지원이 종료된 서버 운영체제를 업그레이드하거나 교체하는 등 전환계획을 수립하고 이행하시기 바람

(9) 전산자료 보호대책 미흡

회사는 내부 전산자료 보호를 위해 문서보안프로그램(DRM), 데이터유출방지시스템 (DLP) 및 개인정보관리시스템(OOOO) 등 보안시스템을 운영하고 있으나

일부 업무단말기에 DRM이 설치되어 있지 않아 개인정보파일이 평문으로 저장될 수 있고, 내부사용자에게 개인정보파일을 암호화하거나 삭제하도록 안내만 하고 별도의 조치를 취하지 않아 해당 파일이 외부로 유출될 위험이 있으므로

모든 업무단말기에 DRM을 설치하여 개인정보파일을 암호화하여 저장하도록 하는 등 전산자료 보호대책을 강화하시기 바람

(10) 정보처리시스템 성능관리 불합리

회사는 정보처리시스템 운영 유지보수 업무를 OOOO에 위탁하여 동사를 통해 시스템 및 네트워크에 대한 성능을 관리하면서

정보처리시스템의 CPU, 메모리, 저장공간 및 네트워크의 사용량이 임계치

(OO~OO%)를 초과하거나 이상 징후가 발생하는 경우 시스템 담당자에게 통보하도록 운영하여 OOOO.O.O. ~ OOOO.O.OO. 중 총 OO회 성능을 개선하였으나

시스템 용량 확장 시점 예측을 위한 이용도 분석 등 일부 성능분석이 부족하여 사전에 정해놓은 사용량 임계치의 적정성 및 추가 용량 확보의 필요 여부를 판단하기 어려우므로

정보처리시스템의 장애 예방 및 성능 최적화를 위해 시스템 성능·용량 현황, 사용량 추이, 장애 발생·조치 현황 등을 정기적으로 분석하여 성능·용량을 관리하는 내용의 내규를 마련하는 등 관련 절차를 개선하시기 바람