서울보증보험주식회사 금감원 경영유의사항 · 2018-02-12

개선사항 공개

개선사항 공개

1. 금융기관명 : 서울보증보험㈜

2. 제재조치일 : 2018. 2. 12.

3. 제재조치내용

제재 대상

제재 내용

기 관

• 개선사항 3건

제재 대상

제재 내용

기 관

• 개선사항 3건

4. 제재대상사실

가. 개선사항

(1) 재해복구센터 구축 및 전환훈련 실시 불합리

(가) 중요 보험업무 시스템, 대외기관 연계 시스템 및 홈페이지 시스템 등 3개 업무를 핵심업무로 지정하고, 핵심업무에 대해서는 재해복구시스템을 구축ㆍ운영하고 있으나, ◯◯◯시스템 및 ◯◯ ◯◯◯ ◯◯◯◯◯ ◯◯시스템 등 대고객 업무시스템은 재해복구 대상에 포함하지 아니하여 재해발생 등 비상시 고객 지원 업무를 충분하게 지원하지 못할 우려가 있고, 주전산센터에는 ◯◯개 대외기관에 대한 전용회선을 구축하고 있으나, 재해복구센터에는 이중 ◯개 대외기관에 대한 전용회선만 구축하고 있어 비상시 대체 회선 마련 등 대응계획 수립이 미흡하여 주전산센터에 재해가 발생할 경우 대외기관 연계업무 정상화가 지연될 우려가 있으므로 ◯◯◯시스템 및 ◯◯ ◯◯◯ ◯◯◯◯◯ ◯◯시스템을 재해복구센터에 구축·운영하고, 비상시 대외기관 연계 업무에 대한 대응계획을 마련ㆍ운영하는 등 비상대응 대책을 강화할 필요 (나) 회사는 재해복구 관련 정책으로 ｢DRP(Disaster Recovery Plan)｣를 마련하고 재해발생시 복구목표시간을 ◯시간으로 정하였으며, 재해 등으로 인한 주전산센터 마비에 대비하여 연간 훈련계획을 수립하여 재해복구 전환훈련을 매년 ◯회 실시하고 있으나, 평상시에는 재해복구센터에 구축한 ◯◯◯시스템에서 재해복구업무 뿐만 아니라 개발 및 테스트 등 타업무도 수행하도록 운영하여 재해발생시 타업무에 할당된 일부 자원(CPU 및 메모리 등)을 재해복구업무로 할당한 후 시스템을 운영하여야 하는데도 전환 훈련시 시스템 자원 재할당 과정을 포함하지 아니하였고, 대외기관 연계 훈련은 ◯개 기관만 실시하고, 주전산센터에서 재해복구센터까지의 이동시간을 고려하지 않고 복구목표 시간을 설정ㆍ운영하는 등 전환훈련 계획 수립 및 운영이 다소 미흡하므로 실제 재해 상황 발생시 업무지속성이 확보될 수 있도록 재해복구훈련 계획을 보완하고, 재해복구훈련시 실제 전환에 필요한 과정이 누락되지 않도록 하는 등 재해복구전환 훈련의 실효성을 제고할 필요

(2) 전산자료 백업 및 소산 불합리

회사는 백업시스템의 체계적인 운영을 위하여 내규 ｢시스템 백업 정책｣에 따라 백업 대상, 방식 및 주기 등을 포함한 백업 정책을 마련하여 백업자료를 소산하기 위한 원격지 소산센터를 운영하고 있으나, 소산 백업자료 중 주간 백업자료는 소산센터에 보관하고 있으나 월간 및 연간 백업자료는 주전산센터에 보관하고, 콜센터 시스템의 녹취파일은 백업대상에서 제외하고 있으며, 주요 백업 전산자료에 대한 정기적인 검증의 실시가 미흡하므로 재해 상황 발생시 전산자료가 유실되지 않도록 전산자료 백업 및 소산 정책을 재점검하여 운영하고, 백업 자료에 대한 복구 테스트를 주기적으로 실시하는 등 전산자료 백업 및 소산 업무 절차를 강화할 필요

(3) 모바일 앱 프로그램 통제ㆍ관리 절차 불합리

회사는 모바일 앱을 배포하기 위해 인터넷에 연결된 단말기를 운영하고 있으나, 동 단말기에 소스코드 등이 저장되어 있음에도 불구하고 백신 설치, 비업무사이트 차단 및 매체제어 등 보안체계를 일부 적용하지 아니하여 악성코드 감염에 의해 소스코드 등이 유출될 우려가 있으며 주요 전산프로그램은 형상관리시스템을 통해 프로그램 변경·이관 및 책임자 승인 등을 일괄 관리하고 있으나, 모바일 앱은 수동으로 관리하여 체계적인 관리 및 통제가 어려우므로 모바일 앱 배포 단말기에 백신을 설치하고, 필요한 인터넷사이트만 한정하여 접속을 허용하는 등 보안체계를 강화하고, 모바일 앱 프로그램은 형상관리시스템을 통해 일괄 관리하는 등 관련 절차 및 시스템을 개선할 필요