NH투자증권 금감원 경영유의사항 · 2016-12-30

개선사항 공개안

개선사항 공개안

1. 금융회사명 : NH투자증권㈜

2. 조치일 : 2016. 12. 30.

3. 조치내용

대상

내용

기 관

개선사항 4건

대상

내용

기 관

개선사항 4건

4. 조치대상사실

가. 개선사항

(1) 재해복구훈련 실시 방법 개선

내규인「IT비상계획 준칙」에 따라 업무지속성 확보 대책을 마련하고 연 2회 이상 정기적인 재해복구훈련을 실시하고 있으나 검사대상기간(2014.8.30.～2016.9.29.) 중 4차례 실시한 재해복구훈련시 1차례를 제외한 3차례는 현업부서의 참여 없이 IT부서만 참여함으로써 재해복구시스템 정상 가동 여부에 대한 현업부서의 검증이 이루어지지 않는 등 동 훈련의 실시방법이 미흡하므로 앞으로 재해복구훈련시 IT부서 외에 현업부서가 반드시 참여하도록 하여 재해복구시스템 주요기능의 정상가동 여부를 검증토록 하는 등 재해복구훈련의 실효성이 제고될 수 있도록 훈련방법을 개선하시기 바람

(2) 전산자료 백업 및 소산업무 개선

정보처리시스템 장애 등에 대비하여 주요 정보처리시스템의 전산자료에 대해 주기적인 백업 및 원격지 소산 등을 실시하고 있으나 영구보관 백업자료(예 : 메일, 메신저로그 등)에 대해서는 검사대상기간(2014.8.30. ～ 2016.9.29.)중 1회에 한하여 소산을 실시하고 동 자료에 대한 복구테스트 등을 실시하지 않는 등 백업자료에 대한 검증업무가 미흡하므로 앞으로 영구보관 백업자료에 대한 소산을 주기적(예: 반기)으로 실시하고, 동 백업자료에 대한 손상여부 등을 정기적으로 검증하는 등 관련 업무를 개선하시기 바람

(3) 테스트데이터 변환 관련 관리 절차 강화

테스트데이터 변환시 상급자의 승인을 거쳐 운영시스템의 이용자정보(고유식별정보 등)를 변환하여 테스트시스템으로 이관하고 있으나 변환요청자와 승인자가 동일한 자가승인 건에 대해서는 테스트데이터 변환의 적정성 등에 대한 제3자 확인절차가 없고, 테스트데이터를 테스트 종료 즉시 삭제하지 않고 월1회 일괄 삭제하고 있으며 데이터 삭제 이행 여부를 사후적으로 확인하지 않는 등 테스트데이터 관리가 미흡하므로 앞으로 테스트데이터 변환시 자가승인 건에 대하여 제3자가 확인하도록 하고 테스트 종료 즉시 데이터가 삭제될 수 있도록 테스트데이터 변환과 관련한 관리 절차를 개선하시기 바람

(4) 정보처리시스템 보정(Patch)관리 업무 강화

정보처리시스템의 보정작업에 대해서는 내부적으로 「서버패치관리기준」가이드를 정하여 운영하고 있고, 분기별로 벤더 및 관련 업체로부터 패치 권고리스트를 제출받아 시스템 보정 등을 실시하고 있으나 동 관리기준에 보정대상 정보처리시스템의 선정기준이 명시되지 않고, 주요 보정작업의 적용여부 검토과정에서 의사결정 기록이 없어 적용여부에 대한 충분한 검토가 이루어졌는지를 확인할 수 없는 등 관리업무가 미흡하므로 앞으로 내부 관리기준에 보정작업의 선정대상 등에 대한 기준을 명확히 정하고 주요 보정작업 적용여부 검토시 담당자들 간의 의사결정 사항을 기록으로 남기는 등 정보처리시스템 보정에 관한 관리업무를 개선하시기 바람