유안타증권주식회사 금감원 경영유의사항 · 2020-03-05

개선사항 공개안

1. 금융기관명 : 유안타증권㈜

2. 조치일 : 2020. 3. 5.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) 전산장애 방지 대책 미흡

전산장애 발생 방지를 위해 프로그램 개발시 개발자의 통합테스트 후에 현업

요청부서 담당자가 인수테스트를 실시하고 있으며, 자체 교육을 비정기적으로 실시하고 있으나

현업 인수테스트시 □□ □□의 확인없이 담당자만 확인하고 있고, 전산장애 사례

등을 포함함 전산장애 예방교육을 정기적으로 실시하지 아니하여 검사대상기간중 프로그램 오류로 인한 전자금융사고가 일부 발생하고 있으며,

일부 소수 고객만 이용하는 대고객시스템 화면 또는 이용도가 낮은 업무화면

등은 관리가 소홀해질 우려가 있으므로

현업 인수테스트시 ▼▼▼이 최종 확인하고, 전산장애 예방 교육을 정기적으로

(예: 연 ◎회 이상) 실시하며, 현업부서와 대고객시스템 화면을 검토하여 화면 통·폐합을 실시하는 등 전산장애 예방활동을 개선할 필요가 있음

(2) 공개용 웹페이지 개발 불합리

전자금융서비스를 제공중인 홈페이지를 대상으로 ◇◇◇◇년 하반기, ◆◆◆◆년

상반기 홈페이지 취약점 점검시 이용자 인증 등에서 발견된 취약점을 확인후 조치하고 있으나

전자금융서비스를 제공하지 않는 ■■■■에 대해서는 취약점을 확인하지 않고

있어 동 ◆◆◆◆에 취약점이 존재할 경우 연결된 시스템 피해가 확산될 우려가 있고, 취약점 예방 관련 교육을 실시하지 아니하고 있어 개발자가 신규 취약점 내용을 인지 하지 못하는 문제점이 있으므로

회사가 운영하는 ■■■■을 대상으로 취약점을 확인하여 취약점이 발견될 경우

조치할 필요가 있으며, 개발자를 대상으로 주기적으로 취약점 예방 관련 교육을 실시 하여 개발자의 역량을 개선할 필요가 있음

(3) 내부 업무용시스템 개발시 담당부서 지정 미흡

내부 업무용시스템을 운영하면서 화면별로 수정 개발이 필요한 경우 ‘화면담당

부서’에서 개발요청서를 작성하고 인수테스트를 실시하고 있으나

검사착수일 현재 업무용시스템 총 ▼▼개 화면 중 ◇◇(●●%)개 화면은 화면담당

부서가 지정되어 있지 아니하여 화면 개발 또는 인수테스트시 책임소재가 불분명하고 화면 관련 문의가 ■■■으로 집중되어 업무 과부하가 발생하고 있으므로

관련 내규에 따라 화면 관리에 대한 ‘화면담당부서’의 역할과 의무가 부여될 수

있도록 화면담당부서가 지정되지 아니한 화면에 대한 담당부서를 지정하는 등 내부 업무용 시스템 개발 및 테스트 업무를 개선할 필요가 있음

(4) 프로그램 변경·등록 절차 미흡

㈎ 프로그램 긴급변경 절차 미흡

형상관리시스템, 이관관리시스템을 통해 프로그램 변경·등록 및 책임자 승인여부

등을 관리하고, 정기·비정기·긴급변경의 프로그램 변경관리 절차를 수립하고 있으나

정기·비정기·긴급변경 절차에 대한 ◆◆ 기준을 명확하게 정하지 아니하여

프로그램 오류 등의 긴급한 상황이 아님에도 긴급으로 변경하는 사례가 있는 등 프로그램 변경통제가 일부 소홀하므로

정기·비정기·긴급변경 대상 및 사유 등을 내규에 명확히 하여 장애 발생 등

긴급한 상황에서만 긴급변경을 수행하고 긴급한 상황이 아닌 경우에는 요청부서의 책임자 승인절차 등 프로그램 통제 절차가 충실히 수행되도록 하는 등 관련 업무절차를 개선할 필요가 있음

㈏ ▲▲▲, △△△ 프로그램 등록 절차 미흡

▲▲▲, △△△ 프로그램을 ◎◎시스템에 등록시 형상관리시스템 연계를 통해

자동화하지 않고 수작업을 통해 등록하고 있어 수작업으로 인하여 프로그램 개발통제 절차가 누락되거나 사용자 조작실수 등으로 인해 전산장애가 발생할 우려가 있으므로

▲▲▲, △△△ 프로그램 변경·이관시 프로그램 개발통제 절차가 누락되거나

사용자 조작실수 등이 발생하지 않도록 형상관리시스템 연계 등을 통해 자동으로 등록 하는 등 관련 절차를 개선할 필요가 있음

(5) 프로그램 테스트데이터 변환 절차 불합리

프로그램 테스트시 이용자정보에 대해서는 테스트 변환 프로그램을 통해 변환

하여 사용하고 있으나, 변환요청시 사용자, 사용목적, 사용기간, 변환대상 항목, 점검주기 등이 내규에 명시되지 아니하여 테스트 종료 즉시 변환 데이터가 삭제되지 않거나, 변환이 누락될 우려가 있으므로

테스트 변환을 위한 대상항목, 이용목적, 사용기간, 폐기절차, 점검주기 등을 명확히

내규에 반영하고, ◎◎◎◎◎이 테스트 변환의 적정여부와 사용기간 만료 즉시 삭제 여부를 감독하고 점검하는 절차를 마련하는 등 관련 절차를 개선할 필요가 있음

(6) 프로그램 테스트 업무 절차 불합리

프로그램 개발부서에서 ■■■를 완료한 프로그램은 현업부서 업무담당자에게

테스트를 요청하여 테스트를 실시하고 있으나

프로그램 개발부서의 ■■■ 수행시 시나리오 등에 대한 사전검토 없이 테스트

시나리오를 작성하여 테스트를 실시하고, 인수테스트 적정여부 등을 확인할 수 있는 증빙자료도 보관하지 아니하고 있어 프로그램 오류 등으로 인한 전산장애 발생시 테스트 수행여부 확인이 어려워 책임소재가 불분명해질 우려가 있으므로

프로그램 개발부서의 ■■■ 시나리오에 대한 책임자 검토 또는 승인 절차를

마련하고, 인수테스트 결과 및 상세내역을 전산시스템에 등록하는 등 프로그램 테스트 절차를 개선할 필요가 있음