롯데카드(주) 금감원 경영유의사항 · 2017-12-28

경영유의사항 등 공개안

1. 금융기관명 : 롯데카드㈜

2. 조치일 : 2017. 12. 28.

3. 조치내용

4. 조치대상사실

가. 개선사항

(1) 모바일 앱 프로그램 통제 관리 절차 불합리

① 주요 전산프로그램은 형상관리시스템(OOOOOOO)을 통해 프로그램 변경 이관

및 승인 작업이력 등을 일괄 관리하고 있으나, 모바일 앱 프로그램의 경우 이관, 승인, 작업 이력 등 관리 기능이 부족한 OOO 방식의 소스코드 버전관리 시스템을 사용하고 있어 체계적인 앱 프로그램 형상관리에 어려움이 있고,

② OO사 OOO기반 모바일 앱의 경우 앱스토어 접속용 OOO 단말기(OOO PC)에서

OOOO를 OO하고 배포 프로그램을 앱스토어에 등록하고 있어 동 단말기 내 OOOOO OOOO가 저장되고 있으며, 앱 개발 배포 관련 사이트 이외에 OOO 접속을 허용하고 있어 악성코드 감염 등에 의한 OOOO 유출 등 우려가 있으므로

모바일 앱 개발 업무에 대해서도 형상관리시스템을 적용하여 프로그램 변경 이관통제 절차를 강화하도록 하고, 앱 개발 배포용 단말기(OOO PC)에서 앱 개발·배포와 무관한 사이트의 접근을 차단하는 한편, 동 단말기에 대하여 주기적으로 보안점검을 실시 하는 등 모바일 앱 프로그램 통제 관리 절차 개선 필요

(2) 무선망 보안 통제 관리 불합리

모바일 앱 개발 및 테스트 등을 위해 내부 무선망을 구축하고 비인가 무선망 사용을 통제하기 위하여 무선침입방지시스템을 운용하고 있으나,

무선침입방지시스템(WIPS)에서는 무선기기에서 사용되는 무선프로토콜(OOO.OOOO 등)에 대한 탐지 차단 기능을 지원하고 있지 않고, 무선접속장비(AP)에서는 보안에 취약한 것으로 알려진 무선 인증 암호화 방식(OOO-OOOO)을 혼용하고 있어 무선망 장비의 보안 취약점으로 인해 비인가 무선기기 사용 및 내부시스템의 침해사고가 발생할 우려가 있으므로

무선접속장비(AP) 및 무선침입방지시스템(WIPS)에는 보안성이 높은 설정을 적용하는 한편, 동 장비의 보안취약점 존재여부를 주기적으로 모니터링 하는 등 무선망 보안 통제 대책 강화 필요

(3) 윈도우즈 서버 보안패치 관리 불합리

① 운영체제(OS) 등 중요 보정(patch)작업은 제조사 등의 지원을 받아 실시하고

있으나, 자동화된 방식이 아닌 관리자가 수작업으로 보정작업을 실시함에 따라 OOOO 서버 보안패치 적용 현황 관리가 어려우며

② OO OOO OOO O 서버 등 일부 서버(O대)의 경우 제조사(OO社)의 기술지원이

종료된 운영체제(OOOOOOO OOOO 계열 OS)를 사용하고 있어 보안사고가 발생할 우려가 있으므로

서버 보정작업을 체계적으로 관리하기 위해 패치관리솔루션*을 적용하고, 기술지원이 종료된 운영체제의 경우 업그레이드 버전을 설치하는 한편, 응용프로그램과의 호환성 문제로 업그레이드가 불가능한 경우 네트워크를 분리 구성하는 등 보안 사고를 최소화 할 수 있도록 관련 시스템 보안대책 마련 필요

* 2017.O월부터 OOOO 서버 보안패치를 위한 패치관리솔루션 구축 진행 중

(4) 백업 전산자료 검증 관리 강화

장애 재해 등 비상상황 시 전산 데이터 유실 및 훼손 등에 대한 복구를 신속하게 처리하기 위해 데이터 복잡도가 높은 대상 시스템을 선정하여 백업 전산자료 검증을 정기적으로 실시하고 있으나,

대상 시스템 선정 시 운영체제(OS) 별로 각 O대씩의 OO서버를 선정하고 있어 OOO 업무의 주요 백업 전산자료에 대한 정합성 보증이 어려우므로

백업 전산자료에 대한 검증 시 업무의 주요 데이터 영역이 포함될 수 있도록 대상 시스템을 다양하게 선정하여 실시하는 등 백업 전산자료 검증 관리 강화 필요