NH선물주식회사 금감원 제재공시 · 2016-04-18

제재내용 공개

1. 금융기관명 : NH선물

2. 제재조치일 : 2016. 4. 18.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 경영유의 2건, 개선사항 4건

임 원 |

직 원 |

[/표]

※ 조치내용 중 경영유의 및 개선사항은 금융회사의 주의 또는 자율적 개선을 요구하는 행정지도적 성격의 조치임

4. 제재대상사실

가. 경영유의사항

(1) IT부문 직무분리 및 내부통제 확보방안 강구 필요

IT부서 내 인력 부족 등으로 상호견제가 필요한 일부 업무(인프라운영업무와 정보보호업무 등)를 겸임하여 수행하고 있고 원장 및 프로그램 변경 통제, 정보보호시스템 운용 등 중요 IT업무수행의 적정성 검증을 위한 내부통제 절차가 미흡하므로

중요 IT업무에 대한 직무를 분리하고 업무간 상호견제 기능이 충분히 확보될 수 있도록 중요 IT부문에 대한 자체감사 등 내부통제 기능을 강화할 필요가 있음

(2) 재해복구시스템 및 소산보관 절차 보완 필요

비상사태 발생시 정보시스템의 업무연속성 확보 등을 위한 핵심업무를 구분하여 재해복구 시스템을 구축하여 운영하고 있으나

핵심업무로 지정된 ◌◌◌개 업무 중 ◌◌◌개에 대해서만 재해복구 시스템을 구축하여 운영하고 있고

중요 전산자료에 대한 백업자료를 별도 소산보관 하지 않고 있어 비상사태 발생시 업무중단 등이 발생할 우려가 있으므로

핵심업무 중 미구축된 재해복구 시스템을 보완하고 백업자료 소산보관 절차를 마련하는 등 업무연속성 확보 방안을 충분히 마련할 필요가 있음

나. 개선사항

(1) IT부문 내규 관리 미흡

舊우리선물 및 舊NH농협선물의 합병(2015.9.1.) 이후 내규 ｢감사위원회규정｣, ｢인사규정｣ 등 경영관리 사안의 일부 규정은 제·개정을 실시하였으나

IT부문 관련 내규(총◌◌◌건)를 운영하면서 ｢IT관리운영에관한규정｣, ｢IT개발지침｣, ｢변경관리지침｣, ｢IT비상계획규정｣ 등에 합병 이후 변경사항이 반영되어 있지 않고

｢정보처리시스템감리지침｣의 감리대상사업 기준이 높게 규정되어 있어 실제 감리 적용대상이 없는 등 실효성 없이 운영되고 있으며 전자금융거래에 사용되는 신규 시스템 개발 및 운영 시 필요한 자체 보안성심의 절차가 마련되어 있지 않는 등 IT부문 내규 관리가 미흡하므로

IT부문 내규를 합병 이후 업무 등이 반영되도록 IT부문 내규를 개정하는 한편 관련법규 준수 및 내규의 실효성이 확보될 수 있도록 내규를 주기적으로 검토하는 절차를 마련하는 등 IT부문 내규 관리를 개선하시기 바람

(2) 프로그램 변경 통제 미흡

프로그램을 변경하여 운영시스템에 등록하는 경우 프로그램명, 업무 내용 등을 기재한 변경요청서를 작성하여 책임자 및 변경관리자의 승인을 득하여 관리하고 있으며 프로그램 변경내역의 기록‧관리를 위하여 ◌◌◌을 구축하여 운용하고 있으나

동 시스템을 ◌◌◌ 프로그램에 한정하여 운영하고 있어 ◌◌◌ 프로그램의 경우 프로그램 변경 전‧후 파일을 해당서버에 단순 백업하는 수준으로 프로그램 변경내역을 미흡하게 관리하고 있으며

프로그램의 변경 및 등록 절차상 개발담당자가 변경된 프로그램을 직접 운영시스템에 적용하고 있어 프로그램 세부 변경내용 및 정당한 프로그램이 운영시스템에 등록되는지 여부를 검증하지 못하고 있으므로

◌◌◌ 프로그램도 프로그램 변경관리 시스템에 확대‧적용하여 프로그램 변경이력 등이 관리될 수 있도록 하고 변경된 프로그램 등록시 충분한 사전 검증이 이루어질 수 있도록 제3자 상호검증절차를 마련하는 등 프로그램 등록에 대한 관련 시스템 및 절차 등을 개선하시기 바람

(3) 전산원장 변경 통제 미흡

고객정보 및 거래내역 등이 포함된 중요 전산원장 변경 시 IT업무요청서를 통해 감사부서(컴플라이언스팀) 승인을 득하여 실시하고 IT부서의 데이터베이스 작업내역은 자동으로 기록하도록 운용하고 있으나

전산원장 변경과정 중 변경내용의 적정성 여부에 대하여 제3자의 검증 절차가 마련되어 있지 아니하며, IT부서 자체적으로 수행하는 전산원장 변경(DB구성 변경, 보고서 생성 등)의 경우에는 별도의 전산원장 변경이력 기록 및 제3자 확인 등의 통제절차가 마련되어 있지 아니하여 변경내역의 근거확인 및 적정성 확인이 어려우므로

전산원장 변경내역의 근거를 확인할 수 있는 기록의 관리, 변경내용 및 변경과정의 적정성 검토 등을 확인하는 절차를 마련하는 등 전산원장 변경통제 절차를 개선하시기 바람

(4) 공개용 웹서버 관리대책 불합리

◌◌◌ 상품의 주문 등을 위한 ◌◌◌ 시스템을 구축하여 ◌◌◌서버(전화교환기) 및 ◌◌◌서버를 운용하고 있으나

동 ◌◌◌서버 및 ◌◌◌서버를 ◌◌◌ 등과 동일한 공개용 웹서버 구간(DMZ)에서 운영하고 있어 해킹 등 전자적침해행위에 의한 ◌◌◌내역 등 주요 정보의 유출위험이 존재하므로

◌◌◌ 관련 시스템의 공개용 웹서버 구간에서 운용 필요성을 재검토하고 침입차단시스템 등에 의해 분리된 내부망 등으로 이전하여 운용하는 등 관련 절차 및 시스템 운용방법을 개선하시기 바람