HMC투자증권 금감원 제재공시 · 2016-01-26

제재내용 공개

1. 금융기관명 : HMC투자증권

2. 제재조치일 : 2016. 1. 26.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 경영유의 3건, 개선 4건

임 원 |

직 원 |

[/표]

4. 제재대상사실

가. 경영유의사항

(1) IT자체감사 업무강화

IT부서내 자체감사 업무 수행을 위하여 담당자를 지정하고 있으나 자체감사 수행을 위한 지침이 마련되어 있지 않아 IT관련 주요업무에 대한 일상적 자체감사를 실시하지 않고 있으므로

앞으로 감사 대상, 기간, 평가 방법 등을 포함한 IT자체감사 관련 지침을 마련하고 IT관련 일상업무에 대한 자체감사를 실시하는 등 IT자체감사 업무에 대한 실효성을 강화할 필요가 있음

(2) IT 내부통제체계 강화

IT업무의 내부통제를 위하여 ○○○ 등을 조직하여 운영하고 있으나 보안시스템을 운영하는 파트와 시스템을 개발하는 파트가 ○○○팀 산하에 함께 소속되어 있고 DB관리자가 DB접근통제시스템 운영업무를 함께 수행하고 있어 IT보안 업무의 독립성이 훼손될 우려가 있고

프로그램 이관담당자가 일부 개발업무를 동시에 수행하고 있어 긴급이관*이 필요한 경우에는 자신이 개발한 프로그램을 책임자 승인 없이 이관할 우려가 있으므로

* 개발자가 프로그램 작성 후 이관담당자가 책임자 승인 이전에 프로그램을 이관하고 책임자가 사후검증을 하도록 운영

앞으로 정보기술부문과 정보보호부문의 직무 및 프로그램 이관업무와 개발업무의 직무를 분리하는 등 IT내부통제체계를 강화할 필요가 있음

(3) 외주용역 서비스수준협약 체계(SLA) 마련

○○○의 외부위탁을 위해 외주업체와 용역계약을 체결하고 있으나 서비스 품질 등에 대한 서비스수준협약(SLA)을 체결하지 않아 서비스 내용에 대한 평가 없이 주간 및 월간 실적 보고만을 근거로 용역비를 지급하고 있으므로 앞으로 안정적인 서비스 유지 및 품질 향상을 위하여 서비스수준협약(SLA)을 체결하고 서비스 평가결과를 바탕으로 용역비 산정 및 계약 연장여부를 결정하는 등 체계적인 정보시스템 유지보수 운영방안을 마련할 필요가 있음

나. 개선사항

(1) IT개발자에 대한 프로그램 및 운영로그 접근통제 불합리

IT개발자에게 프로그램소스 및 운영로그에 대한 접근권한을 부여하고 있으나

형상관리 시스템에서 소스코드 보관 영역(Repository)을 업무별(매매, 출납 등)로 분리하지 않고 서버별(원장, 홈페이지 등)로 분리하고 있어 IT개발자가 담당업무와 상관없이 모든 소스코드에 접근 가능하고

운영서버 로그조회시스템의 접근권한도 업무별로 구분하고 있지 않아 IT개발자가 담당업무와 상관 없이 모든 로그를 조회할 수 있으므로

앞으로 프로그램소스 및 운영로그에 대한 접근권한을 최소화하고 담당업무에 따라 접근통제가 이루어질 수 있도록 시스템을 개선하여 운영하시기 바람

(2) 운영프로그램 이관 절차 불합리

운영프로그램 이관 시 책임자 승인 후, 이관담당자가 형상관리 솔루션을 통해 운영시스템에 이관하고 있으나

프로그램 소스코드가 실행모듈 생성 후에도 삭제되지 않고 운영서버에 보관되고 있어 개발팀 이외의 직원이 소스코드에 접근 가능함에 따라 프로그램 오류발생의 위험이 있으므로

앞으로 프로그램 소스코드가 운영서버에 남아있지 않도록 보관영역(Repository)의 위치에 대해 재검토하는 등 관련 업무를 개선하시기 바람

(3) 정보처리시스템 패치절차 불합리

주요 서버에 대한 패치(patch) 작업을 그룹사의 관제시스템과 제조사의 지원을 받아 실시하고 있으나

패치대상 검토 및 패치작업 실시현황 모니터링 등 패치 작업에 대한 체계적인 관리가 미흡하여 일부 서버에는 패치가 적용되지 않는 등 패치 작업이 적시에 이루어지지 않고 있으므로

만약의 침입사고 발생 시 시스템 피해를 최소화할 수 있도록 앞으로 정보처리시스템의 패치대상 및 적용현황을 철저히 관리하여 운영하시기 바람

(4) 내부자료 보안통제절차 불합리

내부자료의 외부유출을 통제하기 위해 직원 단말기에 보안USB솔루션 및 문서보안솔루션(DRM)을 설치·운영하고 있으나

보안USB 반출에 대한 승인절차를 마련하지 않아 보안USB의 임의반출이 가능하고 일부 직원에 대해서는 본인 작성 문서에 대한 암호화 해제 권한을 부여하여 승인절차 없이 내부문서를 반출할 수 있는 등 내부자료에 대한 보호대책이 일부 미흡하므로

앞으로 보안USB 반출에 대한 승인절차를 마련하고, 문서보안 암호화 해제시 책임자 승인절차를 전직원을 대상으로 적용하는 등 내부자료에 대한 보안 및 유출방지 절차를 개선하시기 바람