효성에프엠에스㈜ 금감원 경영유의사항 · 2017-10-31

경영유의사항 등 공개안

1. 금융회사명 : 효성에프엠에스㈜

2. 제재조치일 : 2017. 10. 31.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 외부주문업체 인력 관리 강화

효성에프엠에스㈜는 프로그램 개발 및 인프라 운영 등에 대한 사항을 외부주문업체에

위탁하여 처리하고 있어 외부주문 업체의 정보처리시스템 개발업무에 대한 통제대책을 수립하고 회사 자체적으로 통제가 가능하도록 회사내부에 인력을 갖추어야 하는데도

외부주문업체 직원이 프로그램의 개발업무를 수행하면서 내부 직원의 확인절차를

거치지 않는 등 외부주문업체의 프로그램 개발 및 인프라 운영을 통제하기 위한 대책이 미흡하고, 내부 직원 O명이 다수의 외부주문업체 직원을 통제․관리하고 있으므로

외부주문업체 인력에 대한 관리를 강화할 수 있도록 통제대책 보완 등 개선

관리 방안을 수립하여 운영필요

(2) 경영지도기준 비율 산정 절차 강화

전자지급결제대행업을 영위하는 전자금융업자는 유동성 비율을 100분의 40 이상으로

유지해야 하는데,

검사실시기간 중 2017.3.1.~2017.7.21.까지 회사의 은행 예치금(OOO억)을 OOO

으로 처리하는 등 유동성 비율을 잘못 산정한 사례가 있으므로

유동성 비율 등 경영지도기준 비율 산정시 회계처리의 적정성 등을 검증할 수

있는 절차를 마련할 필요

나. 개선사항

(1) 미지급 결제대금에 대한 지급관리 절차 강화

내규「정산관리규정」에 따라 회사는 가맹점 이용고객의 결제대금을 회사 명의의

별단계좌로 입금 받고 2영업일 이내로 결제대금에서 수수료를 공제한 나머지 금액을 가맹점 계좌 등에 지급하는 방법으로 정산을 대행하고 있으나

가맹점 계좌가 가압류되거나 폐쇄되어 결제대금 지급이 불가능한 경우 계약상

또는 내규 상의 근거 없이 회사 명의의 별단예금계좌 내에 예수금으로 관리하고 있어 분쟁이 발생할 소지가 있으므로

가맹점 계좌 가압류 또는 폐쇄 등으로 인하여 결제대금을 지급하기 어려운 상황에

대비하여 지급 불가능 금원에 대한 회계처리방안을 마련하는 등 결제대금의 미지급으로 인해 분쟁이 발생하지 않도록 관련 절차를 개선할 필요

(2) 가맹점 이용고객의 개인정보 수집 처리에 대한 동의여부 점검 강화

회사는 가맹점으로부터 가맹점 이용고객의 결제대행업무를 위탁받아 처리하면서

페이인포시스템 도입 이전 가맹점 이용고객에 대하여 개인정보 수집·처리에 대한 동의 내용을 고객정보 점검업체(OO개)를 통하여 확인 점검하고 있으나,

검사착수일(2017.7.17.) 현재 인력 부족 및 비용 부담 등을 이유로 전체 고객 정보 중

일부 고객의 동의 현황만 확인하는 등 관리가 미흡하므로

미확인된 가맹점 이용 고객 동의서에 대한 점검 계획을 수립 운영하는 등 개인정보

수집·처리에 대한 동의 여부 검증을 강화할 필요

(3) 정보처리시스템 접근통제 관리강화

(가) 정보처리시스템 서버접근 통제를 수행하기 위하여 서버접근에 대한 개인

계정을 부여하고, 서버 접속 기록 및 명령어 등을 추적·관리하고 있으나,

외부주문업체 개발자(O명)가 프로그램 수정․삭제, 프로세스 종료를 임의로 수행

하는 등 운영서버에 대한 접근권한 부여 및 회수 관리에 미흡한 점이 있으므로

외부주문업체 개발자가 임의로 운영서버에 접근할 수 없도록 서버접근 계정

부여 및 회수에 대한 절차를 강화할 필요

(나) 데이터베이스 접근통제 솔루션을 도입하여 개인별로 데이터베이스 계정을

부여하고, 데이터베이스 변경문(Query) 실행 이력을 남기고 있으나,

관리자 업무를 수행하지 않는 직원 O명에게 관리자 권한을 부여하고 있고, 외부

주문업체 직원(O명)에게 운영계 데이터베이스 조회 권한이 과다하게 부여하고 있어 이를 통하여 고객정보 등을 임의로 조회할 가능성이 있으므로

업무상 불필요한 데이터베이스 관리자 권한과 외부주문업체 개발자의 운영계

데이터베이스 조회 권한을 회수하고, 앞으로 데이터베이스 접근권한에 대한 발급·회수 등의 통제 절차를 더욱 적정하게 수행할 필요

(4) USB 등 보조기억매체 통제 관리 강화

검사착수일(2017.7.17.) 현재 보조기억매체(USB, CD 등)를 통한 정보유출 등을

방지하기 위하여 단말기별 통제 정책을 실무적으로 운영*하고 있으나

* 내규, 지침 등에 의해 문서화되지 않음

보조기억매체별로 통제하고 있지 아니하여 정보유출 시 사후 추적이 어려울 수

있으며, 보조기억매체의 읽기 기능에 대해서는 악성코드 점검 등 별도의 통제 정책을 적용하지 않아 동 매체를 통해 단말기가 악성코드 등에 감염될 우려가 있고 USB케이블을 이용하여 망간자료전송 등의 방법을 통하지 않고 내부망 및 외부망 단말기 간 데이터 전송이 가능하므로

보조기억매체의 읽기 기능을 통제하고 보조기억매체별로 통제할 수 있도록

정책을 마련하며 동 정책을 구체적으로 문서화하는 등 보조기억매체 통제절차를 강화할 필요