한화투자증권주식회사 금감원 경영유의사항 · 2020-06-30

개선사항 공개안

1. 금융회사명 : 한화투자증권(주)

2. 조치일 : 2020. 6. 30.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) IT부문 감사 체계 불합리

① ◉◉실은 IT부서에 대한 일상감사 실시를 위하여 내규 ○○○○ 에

월별 일상 감사 점검항목을 마련하였으나, 세부적인 수행절차 및 방법 등은 마련하지 아니하여 IT부서에 대한 월별 일상감사를 실시하지 않고 있어 해당 일상감사 항목에 대한 취약점이 존재할 우려가 있으므로

◉◉실은 수행 주체, 절차 및 방법을 내규에 명확히 명시하여 월별

일상감사를 실시할 필요가 있으며

② ◎◎부서는 분기별 내부통제점검 실시를 위해 ○○여개 항목의 자체

체크리스트를 마련하여 각 팀별로 자체 점검하여 점검결과를 내부통제점검 담당 ◎◎부서 자체감사자에게 제출하는 방식으로 운영하고 있으나, 자체 감사자가 감사 업무외 타 업무도 겸임하고 있어 각 팀에서 작성한 체크 리스트 점검 결과에 대한 적정성을 형식적으로 점검하는 등 내부통제점검 체계가 일부 미흡함으로,

내부통제점검을 위한 전담인력 확보를 통해 내부통제점검 결과의

적정성 검증이 이루어질 수 있도록 내부통제점검 체계를 개선할 필요가 있음

(2) IT외부주문 점검 불합리

회사는 IT외부주문 등에 의한 전자금융침해사고 예방을 위하여 각 부서에서

외부주문(○○○팀 등)을 대상으로 IT외부주문 보안통제점검을 자체적으로 실시 하고, ▲▲▲팀은 매월 각 부서에서 실시한 일 점검사항 및 월 점검사항의 점검결과와 증적자료를 취합하여 정보보호최고책임자에게 보고하고 있으나

▲▲▲팀이 부서별 자체점검 결과에 대한 적정성 점검을 실시하지

아니하여 IT외부주문 점검이 형식적으로 수행될 우려가 있으므로

각 부서별 자체점검 결과에 대하여 ▲▲▲팀 주관으로 체크리스트

등을 작성하여 주기적으로 확인하고, 동 내용을 관련 내규(「○○○○규정」등)에 반영하는 등 IT외부주문 통제 점검을 개선할 필요가 있음

(3) 외주인력 관리절차 불합리

외부주문 관리를 위하여 내규 ○○규정 및 ○○○○기준 에서 정한

보안관리방안에 따라 외부인력을 대상으로 ‘○○○○ 서약서’, ‘○○○○ 확인서’ 등 양식을 징구하고 있으나

‘○○○○ 서약서’, ‘○○○○ 확인서’ 등 양식에 대한 명칭, 신청시기 및

작성방법과 관련하여 명문화된 매뉴얼이 없어 외주인력 관리가 일부 미흡할 우려가 있으므로

외부인력 프로젝트 착수·수행·철수 단계별 수행 업무에 대한 구체적인

체크리스트와 첨부 양식을 포함하는 매뉴얼을 마련하는 등으로 외주인력 관리절차를 개선할 필요가 있음

(4) 정보처리시스템 주요 명령어 통제 불합리

○○부서 직원(외주용역 직원 포함)이 ◉◉◉, ◉◉◉◉ 등 운영

시스템에 영향을 줄 수 있는 중요 명령어 실행 시 사전승인 또는 사후 소명 절차 없이 실행이 가능하여

운영시스템에서 불필요한 명령어가 수행되거나, 조작 실수에 의한

전산사고가 발생할 우려가 있으므로

서버 및 DB 접근통제 솔루션 등을 활용하여 서버 및 DB 중요 명령어가

필요한 작업을 수행할 경우 작업계획서 작성 및 사전승인 후 실행이 가능하도록 절차를 마련하는 등 중요작업에 대한 통제절차를 개선할 필요가 있음

(5) 일괄작업 프로그램 운영·통제 불합리

일괄작업(batch) 프로그램은 책임자의 승인을 득한 작업의뢰서에

근거하여 실행토록 통제하고 있으나

업무 연관성이 없는 직원이 동 프로그램을 실행하거나, 실행결과를

조회하는 권한을 보유하고 있고, 동 프로그램으로 데이터를 변경작업을 하는 경우 일반적인 일괄작업 프로그램 변경절차를 따르고 있어 데이터 변경내용에 대한 기록·관리 및 사후검증에 어려움이 있으므로

외주직원을 포함한 업무 관련성이 없는 직원에게 부여된 불필요한

일괄작업 실행 및 조회 권한을 회수하고, 동 프로그램에 의한 데이터 변경 시 변경 내용을 상세하게 기록ㆍ관리하여 사후검증이 효율적으로 이루어지도록 데이터 변경 절차를 보완ㆍ개선하시기 바람

(6) IP주소 관리대책 불합리

운영서버에 대한 비인가 접근을 원천 차단하고 개발 및 테스트 서버의

장애 또는 보안 취약점이 운영 서버로 전이 되지 않도록 운영, 개발, 테스트 등 서버 유형별로 네트워크를 분리 구축하고 있으나,

운영 서버 ○○○대 중 ○○대가 개발, 테스트 서버 IP주소 대역에 구축

되어 있고, 임직원 사용 단말기의 IP주소를 근무장소 기준으로 할당하여 IP주소 대역별 보안정책 적용시 중요 단말기 보안정책이 완화될 우려가 있으므로

서버에 설정된 IP주소 대역을 일제 점검하여 정비하고, 서버 신규

구축 시 사전 검토하는 절차를 마련하는 한편, 단말기 유형별 IP주소 할당정책을 수립하는 등 IP 주소 관리체계를 개선할 필요가 있음