HMC투자증권 검사결과제재 (2016-01-26)

IT자체감사 업무강화 IT부서내 자체감사 업무 수행을 위하여 담당자를 지정하고 있으나 자체감사 수행을 위한 지침이 마련되어 있지 않아 IT관련 주요업무에 대한 일상적 자체감사를 실시하지 않고 있으므로 앞으로 감사 대상, 기간, 평가 방법 등을 포함한 IT자체감사 관련 지침을 마련하고 IT관련 일상업무에 대한 자체감사를 실시하는 등 IT자체감사 업무에 대한 실효성을 강화할 필요가 있음

IT 내부통제체계 강화 IT업무의 내부통제를 위하여 ○

외주용역 서비스수준협약 체계(SLA) 마련 ○○○의 외부위탁을 위해 외주업체와 용역계약을 체결하고 있으나 서비스 품질 등에 대한 서비스수준협약(SLA)을 체결하지 않아 서비스 내용에 대한 평가 없이 주간 및 월간 실적 보고만을 근거로 용역비를 지급하고 있으므로 앞으로 안정적인 서비스 유지 및 품질 향상을 위하여 서비스수준협약(SLA)을 체결하고 서비스 평가결과를 바탕으로 용역비 산정 및 계약 연장여부를 결정하는 등 체계적인 정보시스템 유지보수 운영방안을 마련할 필요가 있음

IT개발자에 대한 프로그램 및 운영로그 접근통제 불합리 IT개발자에게 프로그램소스 및 운영로그에 대한 접근권한을 부여하고 있으나 형상관리 시스템에서 소스코드 보관 영역(Repository)을 업무별(매매, 출납 등)로 분리하지 않고 서버별(원장, 홈페이지 등)로 분리하고 있어 IT개발자가 담당업무와 상관없이 모든 소스코드에 접근 가능하고 운영서버 로그조회시스템의 접근권한도 업무별로 구분하고 있지 않아 IT개발자가 담당업무와 상관 없이 모든 로그를 조회할 수 있으므로 앞으로 프로그램소스 및 운영로그에 대한 접근권한을 최소화하고 담당업무에 따라 접근통제가 이루어질 수 있도록 시스템을 개선하여 운영하시기 바람

운영프로그램 이관 절차 불합리 운영프로그램 이관 시 책임자 승인 후, 이관담당자가 형상관리 솔루션을 통해 운영시스템에 이관하고 있으나 프로그램 소스코드가 실행모듈 생성 후에도 삭제되지 않고 운영서버에 보관되고 있어 개발팀 이외의 직원이 소스코드에 접근 가능함에 따라 프로그램 오류발생의 위험이 있으므로 앞으로 프로그램 소스코드가 운영서버에 남아있지 않도록 보관영역(Repository)의 위치에 대해 재검토하는 등 관련 업무를 개선하시기 바람

정보처리시스템 패치절차 불합리 주요 서버에 대한 패치(patch) 작업을 그룹사의 관제시스템과 제조사의 지원을 받아 실시하고 있으나 패치대상 검토 및 패치작업 실시현황 모니터링 등 패치 작업에 대한 체계적인 관리가 미흡하여 일부 서버에는 패치가 적용되지 않는 등 패치 작업이 적시에 이루어지지 않고 있으므로 만약의 침입사고 발생 시 시스템 피해를 최소화할 수 있도록 앞으로 정보처리시스템의 패치대상 및 적용현황을 철저히 관리하여 운영하시기 바람

내부자료 보안통제절차 불합리 내부자료의 외부유출을 통제하기 위해 직원 단말기에 보안USB솔루션 및 문서보안솔루션(DRM)을 설치·운영하고 있으나 보안USB 반출에 대한 승인절차를 마련하지 않아 보안USB의 임의반출이 가능하고 일부 직원에 대해서는 본인 작성 문서에 대한 암호화 해제 권한을 부여하여 승인절차 없이 내부문서를 반출할 수 있는 등 내부자료에 대한 보호대책이 일부 미흡하므로 앞으로 보안USB 반출에 대한 승인절차를 마련하고, 문서보안 암호화 해제시 책임자 승인절차를 전직원을 대상으로 적용하는 등 내부자료에 대한 보안 및 유출방지 절차를 개선하시기 바람