신한카드 금감원 경영유의사항 · 2017-02-10

경영유의사항 등 공시

경영유의사항 등 공시

1. 금융회사명 : 신한카드㈜

2. 제재조치일 : 2017. 2. 10.

* 본 건은 ｢금융기관검사및제재에관한규정시행세칙｣ 제30조 제2항에 따라 2015.11.18. 분리통보한 ｢제재내용 공개안｣과 동일한 검사임

3. 제재조치내용

대상

내용

기 관

경영유의 10건, 개선 19건

대상

내용

기 관

경영유의 10건, 개선 19건

※ 조치내용 중 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 조치요구사항

가. 경영유의사항

(1) 일상감사업무 효율성 제고

내규「감사위원회 직무규정」제5조에 의하면 회계업무 및 규정 제․개정 업무 등 일상감사 대상 중 부문장급 이상이 결재하는 업무에 대하여 사전 또는 사후적으로 일상감사토록 하고 있으나 ◍◍◍은 사내게시물을 통하여 이사회 부의 안건 또는 주주총회 안건만을 사전감사대상으로 안내하여 2011.7월~2014.6월 기간 중 일상감사를 실시한 4,028건중 34건(0.8%)만을 최종결재권자의 결재 전에 일상감사를 실시하는 등 상근감사위원 및 감사조직에 의한 사전적 위험 통제기능이 미흡하므로 앞으로 규정의 제․개정, 일정금액 이상의 비용집행 등 중요업무에 대하여는 사전에 일상감사를 실시하는 등 내부감사를 효율적으로 실행하는 방안을 마련할 필요가 있음

(2) 여신감리업무의 독립성 강화

여신심사 및 사후관리 업무의 적정성 등을 점검․시정하기 위한 여신감리위원회 감리 대상 및 방법 등을 내규에 규정하고, 여신감리업무는 여신심사업무 등과 분리․운용하는 것이 합리적이나 검사착수일(2014.9.15) 현재 여신감리위원회의 여신감리업무 수행을 위한 내규가 체계적으로 마련되어 있지 않고, ◎◎◎◎◎◎◎에서 여신심사와 감리업무를 동시에 수행하고 있는바, 여신감리업무가 독립적으로 수행될 수 있도록 관련 내규 제정 및 조직․인력 조정 등을 통해 여신심사 기능을 강화할 필요가 있음

(3) 전화마케팅 불완전판매 방지대책 강화

카드상품에 대한 전화마케팅시 고객이 해당 상품의 중요사항(연회비, 금리 및 수수료 등)을 인지하고 가입여부를 결정할 수 있도록 충분히 설명하여야 하나, 일부 전화상담원들이 금융이해도가 낮은 고연령자나 고객의 직장 연락처로 전화하여 고객이 이해하기 어려울 정도로 빠르게 안내하여 고객 불만을 야기한 사실이 있었는바 앞으로 전화상담원에게 카드상품의 중요사항을 적정 속도로 안내토록 철저히 교육하고, 통화내용 품질모니터링 과정에서 전화상담원이 적정 속도로 안내했는지 여부를 재확인하는 등 불완전판매 예방을 위한 방안을 마련할 필요가 있음

(4) 마케팅행사 비용의 적정성 확인절차 강화

대형가맹점과의 마케팅 행사 추진시 가맹점 마케팅비용을 최대 50%로 제한 운영하도록 하고 있으나 2013.1.18. ~ 2013.4.7. 기간 중 3개 지점에서 ◎◎◎◎ 등 대형가맹점 3개사와 마케팅 행사를 진행하면서 비용집행의 적정성 여부를 사전에 점검하지 않아 마케팅비용(14.6백만원) 전액을 지원한 사례가 있었는 바, 앞으로 대형가맹점과 마케팅 행사를 하는 경우 지역본부 및 본사부서에서 각 지점의 마케팅행사 비용 집행의 적정성을 사전에 확인하는 방안을 마련할 필요가 있음

(5) 해외 유가증권 관련 내부통제 강화

회계결산 과정에서 해외 유가증권인 비자(VISA) 및 마스터(MASTER)카드 주식에 대하여 위탁보관사가 발행한 실물 잔고증명서로 보유 여부를 확인하지 않고 위탁보관사의 홈페이지상에 잔고화면으로 이를 확인하였고 마스터카드를 위탁하고 있는 위탁보관사에 등록된 연락처에 회사 또는 대표이사 명의가 아닌 ●●●●● 직원(부장) 명의로 기재되어 있어 우편물의 위․변조 등 사고발생 가능성이 있으므로 앞으로 해외 유가증권에 대한 잔고는 위탁보관사의 실물 잔고증명서에 의하여 확인하고, 위탁보관사에 등록된 연락처는 회사 또는 대표자 명의로 변경하는 등 관련 내부통제를 강화할 필요가 있음

(6) 자산건전성 분류업무의 적정성 제고

「여신전문금융업감독규정」제9조 등에 의하면 거래처의 금융거래내용, 신용상태 및 경영내용 등을 종합적으로 고려하여 정상․요주의․고정․회수의문․추정손실로 자산 건전성을 분류하여야 하나 거래처가 부도․폐업하거나 연체여신을 보유한 경우에 한하여 요주의 이하로 분류하고 있어 ‘납입자본이 완전히 잠식되거나 연속적으로 당기순손실을 발생하는 등 부실징후 거래처’에 대하여는 정상으로 분류하고 있는 바 앞으로 부실징후 거래처 등 채무상환능력이 저하되거나 채권회수에 상당한 위험이 있는 여신에 대해서도 금융거래내용, 신용상태 등을 종합적으로 고려하여 적정한 건전성 분류를 할 수 있도록 관련 기준 및 절차 등을 수립할 필요가 있음

(7) 선입금제도 운영개선

2014.1월～2014.8월 기간 중 신용카드회원 879명으로부터 신용카드로 재화 및 용역을 매입하기 이전에 동 매입대금을 미리 입금(1,088건, 100억원) 받고 해당매입대금 만큼 이용한도를 증액해 주는 '선입금제도'를 운영하고 있으나 고객이 선입금 일시 상향 요청시 신용한도 부여 기준에 부합하는 경우 최대한 신용한도를 부여하여 신용한도로 결제할 수 있도록 유도하거나 체크카드를 보유한 회원의 경우 체크카드 이용한도 범위내로 한도 요청시 체크카드 사용을 안내하시기 바람

(8) 소멸포인트 축소방안 마련

카드회원이 포인트 사용 유효기간(5년) 내에 사용하지 않아 소멸예정인 포인트를 고객의 동의를 받아 도서관 건립 등 사회공헌활동자금으로 사용하고 있으나 2011년～2014년 상반기 중 소멸된 포인트는 727억원에 달하고 있으나, 소멸예정포인트로 기부한 금액은 91억원(소멸예정포인트의 12.5%)으로 미미한 수준이며 기부금액도 2011년 이후 지속적으로 감소하고 있는바 앞으로 카드회원이 소멸포인트를 보다 용이하게 기부할 수 있도록 포인트 사용대상 등을 확대하고 포인트 활용방법에 대하여 적극 안내하는 한편, 소멸 예정인 포인트를 손쉽게 기부할 수 있도록 기부절차 및 기부방법을 개선하는 등 소멸포인트 축소방안을 마련할 필요가 있음

(9) 수익구조 개선방안 마련

2013.1/4분기~2014.2/4분기 중 신용판매수익에서 마케팅비용이 차지하는 ‘마케팅비용지출비율’이 지속적으로 증가하고 있으며, 2010년 이후 신용판매이익이 신용판매 관련 비용을 하회하는 등 수익성이 악화되고 있는데 이는 가맹점수수료 인하 및 할부이자의 지속적인 감소 등으로 신용판매수익은 정체되고 있는 반면, 업계내 경쟁 심화로 신용카드 부가서비스 비용, 판매관리비 등이 증가함에 기인하는 바 고비용 신용카드 발급 및 판촉 활동 자제 등을 통한 비용 합리화 계획을 수립․운영하는 등 수익구조를 개선할 수 있는 방안을 마련할 필요가 있음

(10) IT외주업체 통제 강화 필요

전산센터에 상주하는 IT인프라 운영 외주직원을 통제하는 조직(○○○○)이 ○○○○팀에 소속되어 전산센터 운영과 관련된 주요 결정사항을 ○○○○○팀장이 승인하는 등 직무분리가 다소 불합리하고, 전산센터 상주 외주직원에 대한 보안통제가 다소 미흡하므로

책임있는 IT인프라 운영이 가능하도록 전산센터 내 운영인력을 관리하는 전담 조직을 신설하고, 동 전담조직이 직접 외주직원의 개인정보 보관 및 비인가 업무수행 여부 등을 점검하는 등 외주직원 통제를 강화할 필요가 있음 외주업체가 제공한 서비스품질에 대한 성과평가가 미흡하게 이루어지고 있으므로

IT부서에서 각 성과지표에 근거하여 서비스품질을 직접 평가하는 방식으로 외주업체에 대한 서비스품질 평가를 강화할 필요가 있음

나. 개선사항

(1) 마케팅 관련 수익성 분석기준 미흡

「신용카드 부가서비스 관련 수익성분석 모범규준」에 의하면 카드사는 마케팅행사시 합리적인 수익성분석 기준을 운용하여야 함에도 마케팅행사 관련 수익성 분석시 마케팅효과 발생시기와 무관하게 마케팅 후 3개월간 취급액 기준으로 분석하고 있고 개별 마케팅과 직접 관련이 없는 단기카드대출액을 포함하여 수익을 산출하는 사례도 있으며, 통상 발생하는 간접비를 모두 마케팅비용으로 배분하고 있어 개별 마케팅별 손익관리가 미흡하고, 마케팅전후 수익성 분석결과의 차이에 대한 검증절차가 없어 개별 마케팅행사의 이익기여도, 부진 사유 등에 대한 피드백이 이루어지지 않고 있는바, 개별 마케팅에 대한 정교한 손익분석 및 분석결과에 대한 검증이 이루어질 수 있도록 수익성 분석기준 및 절차를 개선·운영하시기 바람

(2) 휴면신용카드 해지절차 안내 미흡

휴면 신용카드 관리 소홀로 인한 도난 분실사고 발생 예방 등을 위해 신용카드 신청서상에 휴면신용카드 해지절차를 안내하는 등 적극적인 홍보가 필요하므로 앞으로 신용카드 신청서에 휴면신용카드 해지절차를 포함하도록 동 신청서 양식을 개정하시기 바람

(3) 자동차 할부금융의 금리 적용 소홀

자동차 할부금융상품은 차종, 할부 개월수 등 조건이 동일한 고객에 대하여는 동일한 할부금리를 적용하는 것이 적정함에도 2014.6.2.~2014.6.27. 기간 중 자동차 할부금융상품 39건(7억 54백만원)에 대하여 동일조건의 고객임에도 표준상품금리 보다 1%p~ 1.6%p 높은 예외금리를 적용한 사실이 있었는바 앞으로 유사한 사례가 발생하지 않도록 동일 조건의 고객에게 자동차 할부금융상품의 금리를 동일하게 부과하도록 관련 기준을 마련․운영하시기 바람

(4)신용카드 추가․교체발급시 본인확인절차 미흡

신용카드 추가 발급 또는 교체 발급시 명의도용 등을 방지하기 위하여 고객으로 하여금 회원의 ‘생년월일’을 확인토록 하는 등 본인확인을 하고 있으나 전화상담원이 ‘생년월일’중 ‘생년’을 먼저 고객에게 알려준 후 ‘생월일’만을 묻는 등 형식적 절차만 거치고 있는바 앞으로 카드추가 및 교체 발급 업무와 관련하여 회원 본인 확인을 하는 경우 타인에 의해 습득하기 곤란한 정보(주소, 집전화번호, 결제일 등)를 추가 확인토록 업무처리절차를 개선하고, 전화상담원으로 하여금 업무처리절차에 따라 본인확인토록 철저히 교육하시기 바람

(5)신용카드 교부 및 폐기 현황 관리 소홀

내규에 의하면 신용카드 부정 발급 등 사고 예방을 위해 카드 발송, 교부, 폐기 현황을 관리하고, 동 업무의 적정성에 대하여 점검하여야 하나, 배송시간 단축을 위해 직원이 직접 카드발급실을 방문하여 카드를 수령하는 경우에 관리대장에 기재하지 않고 인수증 및 신분증 사본만을 보관하고 있으며, 지점 등에서 보관중인 미교부 카드에 대해서는 그 폐기 여부 등에 대한 점검을 하지 않고 있는 등 신용카드 교부․폐기 업무가 소홀히 취급되고 있는바 앞으로 신용카드 발급․교부․폐기 현황을 모두 관리대장에 기입하고, 지점 등의 미교부카드 폐기현황에 대하여도 상시 모니터링 할 수 있도록 전산시스템을 보완하시기 바람

(6)전화마케팅 업무 관련 교육 및 사후 점검 소홀

(가) 카드갱신 발급안내시 개인신용정보 수집･이용 선택적 동의 설명 미흡 고객이 개인신용정보 수집·이용 동의서상에 이용권유 동의를 하지 않은 경우 전화마케팅을 할 수 없으며, 고객이 이용 권유와 관련하여 마케팅 전화 및 SMS 등에 대하여 거부의사를 밝혔는데도 카드갱신 발급 등 안내전화를 하면서 불완전한 설명 하에 마케팅 동의를 유도하고 인터넷 홈페이지 등을 통해 고객이 구체적 동의내용을 확인하도록 안내하지 않고 있어 고객의 선택권을 침해하는 등 소비자 불만 및 피해가 발생할 우려가 있으므로 앞으로 고객의 의사가 정확하게 반영될 수 있도록 개인신용정보 수집·이용 관련 안내절차를 개선하시기 바람 (나) 연락중지청구(Do-Not-Call) 등록 전산 화면 개선 고객이 전화연락 중지청구(Do-Not-Call)를 하는 경우 고객의 의사표시는 단순한 반면, 관련 전산화면은 거부기간, 거부전화 종류, TM종류 등 불필요하게 많은 내용을 선택하도록 하고 있어 고객의 불만을 초래할 우려가 있으므로 앞으로 고객의 TM거부 의사표시가 명확히 반영될 수 있도록 관련 전산화면을 단순･명확하게 개선하시기 바람 (다) 전화마케팅 종사자에 대한 마케팅 교육업무 개선 내규 ｢전화마케팅 운영 규정｣ 제10조에 의하여 전화마케팅 업무를 외부 업체에게 위탁하는 경우에도 전화 종사자에 대한 사전 또는 보수교육을 실시토록 하여야 하고, 동 교육여부를 정기적으로 점검하여야 하는데도 전화마케팅 위탁업체로부터 자체 교육실시 여부 및 교육내용 등에 대하여 실시여부만 보고받고 있으며, 실질적인 교육 실시 여부에 대하여 점검하지 않고 있는 바 앞으로 수탁업체에 교육실시 여부를 입증하는 자료를 제출토록 요구하고 이들 수탁업체의 교육실시여부에 대하여 정기적으로 점검을 실시하도록 개선하시기 바람 (라) 전화마케팅에 대한 내부통제 점검 강화 내규 ｢전화마케팅 운영규정｣ 제12조에 의하면 ○○○○○는 전화마케팅에 대하여 분기 1회 자체 모니터링을 하고 그 결과를 ◎◎◎◎◎에 통보하여야 하고, ◎◎◎◎◎은 전화마케팅 전반에 대하여 반기 1회 점검하여야 하는데도

○○○○○는 전화마케팅 모니터링 결과를 ◎◎◎◎◎에 매분기 통보하면서 점검내용 및 점검결과에 대한 내용을 포함하지 않은 공문을 형식적으로 송부하고 있어 모니터링 및 내부통제업무의 실효성이 저하되는 문제점이 있고 ◎◎◎◎◎은 전화마케팅 정책 수립 및 변경, 통화내용품질 모니터링, 전화마케팅 종사자에 대한 교육 및 관리 등 전화마케팅 전반에 대해 정기적으로 반기 1회 점검하면서 문제점 및 개선사항을 적시하지 않거나 개선사항을 적시한 경우에도 그 이행여부에 대한 사후관리가 미흡하므로 앞으로 전화마케팅 점검시 표본(sampling) 점검을 통해 실질적인 점검이 이루어질 수 있도록 하고, 점검결과에 도출된 문제점 및 개선방안에 대하여는 그 이행여부를 반드시 확인토록 점검절차 및 사후관리 관련 업무절차를 개선하시기 바람

(7) 가맹점 불법거래 감시업무 소홀

(가) 거래거절･부당대우 가맹점 조치기준 미흡 신용카드사는「신용카드 정보교환 및 관리규약」에 따라 여신금융협회에 신고되어 이첩된 신용카드 거래 거절 또는 부당 대우 가맹점을 조사하여 그 처리 결과를 여신금융협회에 회신하여야 하는데도 2012.1월~2014.6월 중 여신금융협회에 신고되어 이첩된 거래 거절 또는 부당 대우 가맹점 관련 3,477건을 조사하면서 불법여부 인지 부족, 종업원의 실수 및 신고의 오해 등을 이유로 여신금융협회에 동 사실을 통보하지 않은 건이 3,420건(98.3%)에 이르고 있는바 앞으로 신고인의 오해(입증자료 부족 포함) 등 가맹점에 그 책임을 묻기 어려운 경우를 제외하고, 가맹점 종업원의 불법 여부 인지 부족, 단순 실수 등에 의한 경우에는 여신금융협회에 통보하도록 절차를 보완하시기 바람 (나) 현금융통 등 불법거래 감시업무 불철저 현금융통(일명 ‘카드깡’) 등 신용카드 불법거래를 적발하기 위하여 부정사용방지시스템(Early Warning System)을 운영하면서 동 시스템에 의거 적발되어 가맹점 계약을 해지하면서 수사기관 및 국세청에 신고를 하지 않은 사례가 있었는바 앞으로 현금융통 등 위장가맹점에 대하여는 예외없이 수사기관 및 국세청에 불법 사실을 신고하도록 업무절차를 개선하시기 바람

(8) 오토리스 금리 부과시 고객신용도 반영 불철저

오토리스 취급시 상품별․기간별 기준금리(2014.10월 현재 5.9%)를 설정하고 일괄적으로 금리차등 없이 동일하게 적용하고 있어 신용등급이 우수한 이용고객이 상대적으로 고금리를 부담하는 결과가 초래되고 있는 바, 고객의 신용도를 반영한 대출금리를 산출·적용하여 오토리스상품을 취급하는 등 관련 업무를 개선하시기 바람

(9) 협력업체 물품 및 용역대금의 지급결제 불합리

물품 및 용역을 제공하는 협력업체와의 불공정거래 논란을 방지하기 위하여 물품대금 등을 현금(현금에 준하는 지급수단 포함)으로 지급하거나, 신용카드로 대금을 지급시에는 협력업체에게 불이익이 발생하지 않도록 수수료율이 낮은 기업구매전용카드로 지급하는 것이 바람직하나 검사착수일(2014.9.15.) 현재 299개 협력업체 중 186개 업체에 대하여는 현금 또는 기업구매전용카드가 아닌 일반 신용카드로 물품대금(계약금액 393억원) 등을 결제하고 있으므로 앞으로 협력업체에 물품대금 등을 지급시 현금 또는 기업구매전용카드 등으로 결제토록 관련 절차를 개선하시기 바람

(10) 채무면제․유예상품 관련 보상금 지급 소홀

2013.1월~2014.9월 기간 중 매분기별로 은행연합회 제공 사망자정보에 의해 채무면제․유예상품(DCDS) 가입자 중 사망 사실을 확인한 540명을 분석한 결과, 보상금을 지급한 자는 196명(6.9억원)에 불과하고, 344명에 대하여 보상금(12.1억원)을 지급하지 않고 있으므로 앞으로 보상금을 미지급한 유족(상속인)에게 유선, 우편 등을 통해 보상금을 청구할 수 있다는 사실을 적극적으로 고지하는 한편, 은행연합회에서 신규로 제공하는 사망자정보 상에 보상금 지급 대상인 유족(상속인)에 대해서는 보상금 지급내용을 고지할 수 있도록 업무절차를 보완하시기 바람

(11) 이용자정보 보호대책 불합리

○○○○의 경우 사용자 권한에 따라 이용자 정보(주민등록번호, 카드번호 등)를 변환(마스킹)하여 사용하고 있으나

○○○○의 업무 위·수탁 계약에 따라 ○○○○에 제공하는 이용자 정보의 경우 변환(마스킹)하지 않아 이용자 정보가 불필요하게 노출될 우려가 있으므로

○○○○ 등 외부업체에 제공하는 이용자 정보를 변환(마스킹)하는 등 이용자 정보에 대한 보호 및 통제 절차를 개선하시기 바람

(12) 외주인력 변경 관리 불합리

외주업체(○○○○ 등) 직원이 변경될 경우 ○○○○시스템을 통해 전출 직원에게 부여된 전산시스템 접근권한 등을 회수하고 있으나 외주인력 변경관리가 미흡하므로

단말기 반납 등 전출절차 완료 여부를 확인한 후 전출승인을 처리하고, 재전입 인력에 대해서는 ○○○○ 관리번호를 신규 발급하며, 전입 외주직원에 대한 중요정보를 필수 입력토록 하는 등 외주인력 변경 통제절차를 개선할 필요가 있음

(13) IT자산 매각절차 불합리

불용장비 처리 시 연 1~2회 지명경쟁입찰 등을 통해 불용장비를 매각하여 상각처리하고 불용장비 폐기 시 현장입회 등을 통해 검수하도록 하고 있으나 매각․폐기관련 업무절차가 일부 미흡하므로

매각계약체결 시 보안항목을 포함하고, 매각․폐기업무에 필요한 주요 양식(보안서약서, 인수인계확인서 등)을 표준화하여 필수 징구토록 하는 등 IT자산 매각․폐기절차를 개선할 필요가 있음

(14) 정보시스템 감리기준 불합리

정보시스템의 효율성을 향상시키고 안전성을 확보하기 위하여 제3자가 감리하도록 규정하고 있으나, 감리대상을 ○○억원 이상으로 제한*하여 사실상 감리가 이루어지지 않고 있는 바,

감리지침 운영 취지에 부합될 수 있도록 감리대상 금액을 하향하거나 감리대상을 총 사업비(하드웨어, 소프트웨어 구입비용 포함) 기준으로 변경하는 등 감리대상 요건을 조정할 필요가 있음

(15) IT구매 및 용역 계약 관리 불합리

IT관련 구매 및 용역계약 시 수의계약 및 지명경쟁입찰 추진사유의 타당성을 객관적으로 입증하고, 지명경쟁 입찰자격업체 선정기준을 명확히 하며, 사업타당성 검토 및 시장조사 결과가 누락되지 않도록 하고, 계약 이전에 절차에 따라 충분한 검토를 거쳐 체결․유지 여부 및 계약조건에 관한 사항을 결정할 수 있도록 IT관련 계약관리를 강화하고, 품질관리담당자가 검수에 직접 참여하는 등 구매 및 용역 계약관련 통제를 강화할 필요가 있음

(16) 정보처리시스템 관리자 접속 통제 불합리

데이터베이스 등 정보처리시스템 접속을 통제하기 위해 ○○○○시스템을 사용하고 동 시스템 및 데이터베이스 계정의 비밀번호를 주기적으로 변경하고 있으나 비인가자가 ‘○○○○’기능을 통해 정보처리시스템에 접속할 우려가 있으므로

○○○○시스템 및 ○○○○프로그램의 ‘○○○○’ 기능을 제거하거나, 동 기능을 제거할 수 없는 경우 ‘○○○○’ 기능을 사용하지 않도록 제한하는 등의 통제절차를 마련하시기 바람

(17) 정보처리시스템 암호화 통신 적용 불합리

개발자 및 관리자가 내부 정보처리시스템 접속 시 평문으로 데이터를 송·수신하는 프로토콜을 사용하고 있어 감청 등에 의해 송·수신 데이터가 노출될 위험이 있으므로 정보처리시스템 환경설정을 통해 송·수신 데이터를 암호화하여 전송하는 프로토콜만을 사용토록 통제하는 등 단말기와 시스템간의 송·수신 데이터 보안을 강화하기 위한 방안을 마련할 필요가 있음

(18) 시큐어 코딩 관리 불합리

주요시스템에서 가동되고 있는 프로그램의 ‘개발보안’ 준수 여부를 ○○솔루션을 통해 정기적으로 검색하여 발견된 취약점은 프로그램 개발팀에서 보완토록 통보하고 있으나 개발과정에서의 보안통제가 다소 미흡하므로

프로그램의 개발보안 취약점이 적시에 정리되고 예외처리 요청 및 적정성 검증에 대한 세부 내역이 관리될 수 있도록 조치이력 관리시스템 등을 구축하는 등 개발보안 취약점 관리를 강화할 필요가 있음

(19) 외부 인터넷 접속 통제 불합리

○○○○솔루션을 통해 내부 업무시스템에 접속할 수 있는 업무용PC의 인터넷 접속을 원칙적으로 차단·통제하고 있으나

예외적으로 ○○개 사이트(○○○○ 등)의 접속을 전체 직원에게 일괄적으로 허용하고 있으므로

업무상 필요치 않은 사이트가 과다하게 접속 허용되지 않도록 직원의 업무별로 예외접속 허용사이트를 분류하여 적용하는 등 외부 인터넷 접속통제를 강화할 필요가 있음