주식회사KB손해보험 금감원 경영유의사항 · 2019-05-09

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : KB손해보험(주)

2. 조치일 : 2019. 5. 9.

3. 조치내용

대상

내 용

기관

경영유의 1건, 개선사항 5건

대상

내 용

기관

경영유의 1건, 개선사항 5건

4. 조치대상사실

가. 경영유의사항

(1) IT관련 내규관리 강화 필요

회사는 전체 회사차원에서 관리하는 사규와 부서에서만 관리하는 지침으로 구분하여 내규를 운영하면서, ｢사규관리규정｣ 및 ｢IT운영위원회 운영기준｣에 따라 IT 사규의 제·개정시 IT운영위원회에 보고하는 등 관련 부서간 협의 절차 등을 운영하고 있으나, 「IT자체감사지침」,「전산원장관리지침」등 IT관련 중요 업무처리에 관한 사항을 사규가 아닌 부서 내에서만 관리하는 지침으로 규정하고 있고, 사규인 ｢IT업무관리기준｣에서 지침 준수의무를 정하고 있지 않아 중요 IT업무 통제 사항에 대한 준수 근거가 없으며 지침은 IT본부내 IT부, Biz지원부 등 개별 부서장 전결로 제·개정하고 있어 IT 관련 의사결정기구인 IT운영위원회의 심의 및 지침 제ㆍ개정 관련 유관 부서간 협의․통제 등의 충분한 검토절차가 없으므로 프로그램 통제, 전산원장 통제 등 주요 IT업무 처리에 관한 사항은 사규로 제정하여 운영하고, IT업무 관련 지침의 준수의무를 마련하는 한편, IT관련 지침 제·개정시 부서간 적절한 협의절차를 마련하는 등 IT관련 내규 관리를 강화할 필요

나. 개선사항

(1) 프로그램 변경 통제 불합리

회사는 프로그램 개발 및 변경 통제를 위해 관련 절차를 마련하고, IT업무관리시스템을 통해 절차를 전산화하여 운영하면서, IT업무관리시스템에서 프로그램 운영적용, 일괄작업 등록 요청 등에 대한 책임자 승인을 PC 및 모바일기기에서 할 수 있도록 운영하고 있으나, 모바일을 통해 IT업무관리시스템에서 승인하는 경우 요청내용 및 첨부파일의 확인이 불가하고, 승인요청 리스트에서 일괄선택하여 승인 가능하도록 운영하고 있어, 책임자가 요청 상세내용에 대한 확인 없이 형식적으로 승인할 우려가 있으며 일괄작업 오류 등으로 인한 야간 긴급 프로그램 변경 시 ｢어플리케이션 변경관리 프로세스 정의서｣에서 정한 일부 절차를 생략하고 있음에도 이에 대한 사후확인 등 보완통제방안이 마련되어 있지 않으며 모바일 앱 프로그램에 대해서는 기간계 또는 홈페이지 프로그램과 배포절차 등이 상이함에도 업무처리 절차를 별도로 마련하고 있지 않으며, 개발절차 승인, 보안성검증 요청 및 배포 등을 IT업무관리시스템과 연동하여 관리하지 않아 체계적인 관리 및 통제가 어려우므로 모바일 승인 시 IT업무관리시스템에서 요청내용 확인 후 승인 처리할 수 있도록 시스템 개선이 필요하며, 야간 긴급변경 및 모바일 앱 프로그램 변경에 대해 체계적인 관리 및 통제가 가능하도록 관련 절차를 마련·운용하시기 바람

(2) 노후 장비 운영관리 미흡

회사는 유닉스, 윈도우즈 등의 운영체제가 탑재된 서버 ○대를 운영하면서, △대 서버의 운영체제(OS)는 제조사의 서비스 지원기간이 종료된 제품을 사용하고 있어 보안취약점 보정작업 등에 대한 제조사의 공식지원 서비스를 지원받지 못해 장애가 발생할 우려가 있으므로 앞으로 제조사 서비스 지원기간이 종료된 △대 서버에 대해서는 서비스 추가계약을 체결하거나 제조사의 서비스를 받을 수 있는 운영체제로 교체하는 등 운영관리를 개선하시기 바람

(3) 외부 이메일 첨부파일 보안대책 불합리

회사는 외부 메일서버와 내부 메일서버를 분리하여 외부 수신메일을 내부망 PC에서 확인시 수신된 외부메일 본문은 이미지로 처리하여 내부 메일서버로 전달하고 있으나, 메일에 첨부된 파일의 경우 악성코드 검사 후 내부망 PC에서 바로 다운로드할 수 있도록 자동전송하면서 ○○○ 파일 등 악성코드 검사가 불가능한 파일도 자동전송하는 등 외부 이메일에 대한 보안대책이 미흡하므로 앞으로 자동전송 대상 임직원을 최소화하고, 악성코드 검사가 불가능한 파일은 자동전송을 차단하는 등 외부 이메일 통제를 개선하시기 바람

(4) 중요 프로그램 보안성 검토 미흡

회사는 공개망에 구축된 전자금융 서비스와 관련한 웹서버 프로그램에 대해서는 시스템 개발 및 변경시 취약점 점검을 실시한 후 운영시스템에 적용하고 있으나, 내부망에 구축된 △△△시스템의 금전 및 고객 관련 중요 프로그램의 개발 절차에서는 보안취약점 점검 등 보안성 검토를 수행하지 않고 있어 프로그램 보안통제가 미흡하므로 앞으로 내부망에서 처리되는 중요 프로그램도 기밀성ㆍ무결성ㆍ가용성 등이 보장될 수 있도록 보안성 검토를 개선하시기 바람

(5) 개발업무용 파일공유시스템 정보보호대책 불합리

회사는 내부 업무파일 공유를 위해 ○○○ 웹하드와 △△△용 파일시스템을 구분하여 운영하면서 ○○○ 웹하드에는 개인정보 탐지 및 문서보안시스템(DRM) 미적용 파일에 대한 강제 암호화 등 정보보호대책을 운영하고 있으나, △△△용 파일시스템은 개인정보 탐지, 문서보안시스템(DRM) 강제 적용 등의 보호대책을 적용하지 아니하여 개인정보 유출의 우려가 있으므로 앞으로 △△△용 파일시스템도 ○○○ 웹하드와 동등한 수준의 보안대책이 적용ㆍ운영되도록 개선하시기 바람