하나카드 주식회사 금감원 제재공시 · 2016-08-23

[표]

제재내용 공개안

[/표]

1. 금융기관명 : 하나카드(주)

2. 제재조치일(검사서 통보일) : 2016. 8. 23.

3. 제재조치내용

[표]

제재대상 | 제재내용

기 관 | ◦ 기관주의, 과태료(5,000만원) 임 원 | ◦ 퇴직자 위법사실 1명

직 원 | ◦ 감봉 1명 ◦ 자율처리 필요사항 4건* * 문책사항 3건 포함 [/표]

4. 제재대상사실

가. 문책사항

(1) 통합전산시스템 구축 부적정

｢전자금융거래법｣ 제21조 제1항 및 제2항에 의하면 금융회사는 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 하고 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융업무에 관하여 금융위원회가 정하는 기준을 준수하여야 하며

｢전자금융감독규정｣ 제29조에 의하면 프로그램의 운영시스템 적용은 처리하는 정보의 기밀성·무결성·가용성을 고려하여 충분한 테스트 및 관련 책임자의 승인 후 실시하여야 하는데도

2014.7.7.~2015.7.20. 기간 중 기존 하나SK카드와 외환카드의 전산시스템 통합 프로젝트를 추진하면서 통합테스트를 충분하게 실시하지 아니하고 테스트 단계에서 발견된 일부 문제점을 해결하지 않은 상태에서 전산시스템을 가동함으로써 장애(총 9시간 52분) 및 오류가 발생하고 이에 대한 대응조치를 소홀히 하여 다량의 민원 및 고객 피해(약 13억원)를 초래하였음

(2) 재해복구센터 구축·운영 부적정

｢전자금융거래법｣ 제21조 및 ｢전자금융감독규정｣ 제23조에 의하면 금융회사는 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 재해복구센터를 구축․운용하고, 복구목표시간은 3시간 이내로 하여야 하는 등 신속한 복구를 위한 적절한 비상대책을 수립․운용하여야 하는데도

기존 하나SK카드와 외환카드의 전산시스템 통합 프로젝트 추진 시 전산센터 및 재해복구센터를 재구축하면서 당초 지주사 IT투자심의위원회가 심의·의결하고 하나카드 이사회에서 승인한 내용*과 다르게 재해복구센터를 2단계(임시DR, 본DR)로 나누어 구축하기로 계획을 변경하고 통합전산시스템 가동(2015.7.20.) 이후부터 임시 통합재해복구센터(DR)를 운영함으로써 검사착수일(2015.10.5.)까지 전산센터 마비 시 승인업무 등 카드사 핵심업무를 3시간 이내에 복구할 수 있는 재해복구센터가 구축되어 있지 않았음

* 2015.7월 통합전산센터(IDC) 및 통합재해복구센터(DR) 동시 구축

(3) 외부주문 접근권한 통제·관리 부적정

｢전자금융감독규정｣ 제13조 제1항 제2호에 의하면 금융회사는 외부사용자에게 사용자계정을 부여하는 경우 최소한의 작업권한만 할당하고 적절한 통제장치를 갖추어야 하는데도

기존 하나SK카드와 외환카드 전산시스템에서 운영되던 IC카드발급시스템을 통합전산시스템과 연동시키기 위하여 외주 개발업체(OOOO)와의 용역계약을 통해 통합IC카드발급시스템 개발을 완료하고 2015.7.20.부터 동 발급시스템을 운영하면서

동 개발업체 직원의 운영시스템 작업권한을 통합전산시스템 가동(2015.7.20.) 이후 2015.9.4.까지 회수하지 않아 2015.7.24. 동 개발업체 직원이 하나카드 업무담당자 승인 및 통제 없이 프로그램 안정화 작업 등을 사유로 동 발급시스템의 운영시스템에 임의 접속한 뒤 프로그램을 수정하는 과정에서 오류가 발생하여 OOOOO社 제휴 신용카드(IC카드)에 오류가 있는 OO프로그램이 탑재됨에 따라 해외 가맹점에서 승인이 거절되는 결과를 초래하였음

나. 자율처리필요사항

(1) 전자금융사고 지연 보고

｢전자금융감독규정｣ 제73조 제1항에 의하면 금융회사는 전자금융거래법 제9조 제1항의 규정에서 정하는 사고(계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고)가 발생한 경우에는 지체 없이 금융감독원장에게 보고하여야 하는데도

OOOOO社 제휴 신용카드(IC카드)에 오류 OO프로그램이 탑재되어 해외 가맹점에서 동 카드 사용 시 승인이 거절되는 사실을 OOOOO社의 통보를 통해 최초 인지하였음에도 13일이 경과하여 검사반에 보고하였음