메리츠캐피탈(주) 금감원 경영유의사항 · 2018-04-09

경영유의사항 등 공개안

1. 금융기관명 : 메리츠캐피탈㈜

2. 조치일 : 2018. 4. 9.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 감사결과 정리보고서 심사 등 사후관리 강화

IT자체감사를 통해 지적된 사항에 대해 정리보고서 접수 및 감사업무 처리부 작성을 누락하는 등 자체감사 이후 조치결과에 대한 사후관리가 미흡하므로

자체감사 결과 이행계획서에 따라 조치가 완료된 건에 대해 정리보고서 접수 및 감사업무 처리부를 작성하고, 정리보고서 등을 심사하는 등 사후관리 절차를 철저히 준수할 필요

(2) IT 사업추진시 타당성 검토 강화

정보보호위원회는 매년 정보기술부문 계획서에 관한 사항을 심의·의결하고 이에 따라 IT사업을 추진하고 있으나,

이에 대한 타당성 검토가 미흡하여 IT 서비스가 개시 직후 중단되거나, 계획하였던 IT사업의 추진이 수차례 지연 또는 미이행된 사례가 있으므로 합리적인 투자결정, 과잉 중복투자 방지 등을 위해 IT사업 추진과 관련한 사전 타당성 검토를 강화할 필요

나. 개선사항

(1) IT자산 검수절차 및 관련 규정 불합리

회사는 내규 자산 등 구매업무처리 규정 에 따라 IT자산을 도입하고 있으며, IT기획 업무 담당자가 계약 및 대금 지급 업무를 하고, 도입자산 관리 업무 담당자가 IT 자산 설치 및 검수 업무를 수행하고 있으나

IT사업 착수 이후의 검수 및 대금지급 등에 대한 규정이 별도로 마련되어 있지 않으며, IT자산의 설치에 따른 테스트 결과 및 일부 자산정보 등을 검수확인서에 기록하지 않거나 계약 업체가 제공한 납품확인서를 검수확인서로 대체하는 등 검수 체계가 미흡하므로

IT자산 설치 시 테스트 결과 및 세부 납품 결과물 등을 검수확인서에 기록할 수 있도록 관련 절차를 개선하고, IT사업 착수시 검수 및 대금지급 등에 대한 기준을 마련하는 등 관련 규정을 개정할 필요

(2) 사용자 비밀번호 암호화 알고리즘 미흡

OOOO시스템(OOO) 등 총 O개의 시스템에서 사용자 계정의 비밀번호를 보안 강도가 미약한 암호화 알고리즘(OOO)으로 암호화하고 있어 해킹 등에 의해 동 비밀번호가 노출될 위험이 있으므로

사용자 계정 비밀번호를 암호화함에 있어 국가에서 권고하는 수준 이상의 기밀성을 갖춘 암호 알고리즘(SHA-256 등)을 사용하는 등 동 절차를 개선할 필요

(3) 소산자료 관리 및 시스템 복구훈련 불합리

회사는 중요 전산자료를 주전산센터(OOO IDC)에 백업하고 주 O회 소산을 실시하고 있으며, 백업 데이터를 이용하여 OOO 시스템 복구훈련을 실시하고 있으나

소산관리 대장에 소산자료(백업테이프)의 반출이력을 기록하지 않아 반출된 백업 테이프에 대한 추적 관리가 어렵고, 복구훈련시 백업 데이터만 사용하고 있을 뿐 소산자료를 이용하지 않아 훈련의 실효성이 떨어지므로

소산되는 백업테이프의 반 출입 내역을 상세하게 기록하고 관리 책임자가 동 내역을 확인하는 등 소산자료 관리 절차를 강화하는 한편, 소산자료를 이용한 시스템 복구 훈련을 실시하는 등 훈련의 실효성을 제고할 필요