IBK투자증권 검사결과제재 (2015-12-08)

IT부문 감사 업무 운영 강화 ◌◌◌은 매년 감사계획을 수립하고 있으나 검사대상기간 동안 감사계획 수립시 IT부문에 대해 감사 계획을 포함하지 아니하여 IT부문 감사 실적이 없으므로 앞으로 연간 감사계획 수립시 IT부문 감사계획을 포함하고 수립된 감사계획에 따라 IT부문 감사를 철저히 실시하는 등 IT부문 감사업무를 강화하시기 바람

재해복구센터의 업무 연속성 확보 ◌◌◌시스템의 경우 주전산센터는 ◌◌◌에서 운영하고, 재해복구센터는 ◌◌◌에서 운영하고 있어 주전산센터와 재해복구센터간 거리(◌◌◌)가 짧아 화재, 홍수 등 동일한 재해에 노출되어 서비스 중단 등 장애가 발생할 수 있으므로 재해복구센터를 주전산센터와 일정거리 이상 떨어진 안전한 장소에서 운영하는 등 대고객 서비스의 업무 연속성 확보대책을 보완할 필요가 있음

IT부문 내규 관리 미흡 IT부문 내규 체계를 규정(3개), 지침(9개), 기준(18개)으로 구분하여 제정‧운영하고 있으며 필요시마다 전자금융 관련 법규 개정사항, 조직개편 내용 등을 반영하여 내규 현행화 작업을 수행하고 있으나 「개인정보보호지침」, 「단말기보안관리기준」 등 일부 내규가 현행 법규 내용과 상이하므로 IT부문의 내규를 재검토하는 등 IT부문 내규 관리 개선이 필요함

프로그램 변경 통제 미흡 프로그램 변경시 변경근거를 찾기 곤란하고, 현업부서의 요청문서 없이 IT부서 자체적으로 프로그램을 변경한 사례가 다수 존재하며 요청부서의 인수테스트 확인 없이 변경된 프로그램을 운영시스템으로 적용한 사례가 다수 발생하는 등 프로그램 변경통제가 미흡하므로 요청 근거문서를 관리하고 요청부서의 인수테스트 결과 확인 후 프로그램을 운영시스템에 적용하는 등 프로그램 변경통제를 개선하시기 바람

암호화 키 관리 통제 개선 해킹 등 침해행위로부터 고객정보를 보호하기 위해 주민등록번호, 이메일, 전화번호 등 주요 고객정보를 암호화하여 데이터베이스에 저장하고 있으나 암호화 키 관리 담당자 미지정, 키의 주입·운용·갱신·폐기 등 관리에 대한 내규 및 관련 절차 누락 등 내부 통제가 미흡하므로 암호화 키 관리에 대해 담당자를 별도 지정하고 관련 내규를 현행화하며 관리 절차를 마련하는 등 관련 절차를 개선하시기 바람

메일시스템 발송 통제 개선 외부로 메일 발송시 별도의 승인절차 없이 ◌◌◌ 첨부된 메일을 발송 가능하도록 운영하고 있으므로 향후 ◌◌◌를 통해 ◌◌◌등을 첨부하여 외부 메일 발송시 별도의 승인절차를 거친 후 메일이 발송될 수 있도록 관련 절차를 개선하시기 바람