케이아이비넷㈜ 금감원 경영유의사항 · 2017-10-31

경영유의사항 등 공개안

1. 금융회사명 : 케이아이비넷㈜

2. 제재조치일 : 2017. 10. 31.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 정보처리시스템 및 네트워크 보안대책 강화

정보처리시스템을 보호하기 위하여 방화벽, 네트워크 접근제어 시스템 등

정보보호시스템을 구축․운영하고 있으나,

외부에서 접속이 불필요한 OOO 서버 등 총 OO대의 정보처리시스템을

OOO에 배치하고 있어 해킹 등으로 인해 전산자료가 유출될 우려가 있고,

서버 접근계정을 담당자별로 분리·통제하고 있으나 OOO 시스템 등 O대를

관계사와 공동으로 사용하고 있어 관계사의 정책 변경시 회사 서비스의 안전성 및 가용성에 영향을 줄 수 있으며

OOO 시스템을 OOO 단말기에만 적용하고 OOO 단말기에는 적용하지

않아 네트워크 통제가 체계적으로 관리되지 않을 우려가 있으므로

OOO서버 등을 내부망에 배치하고, OOO 시스템 등을 관계사와 독립적으로

분리하여 운영하며, OOO 단말기에 네트워크 접근제어 시스템을 적용하여 네트워크 주소를 체계적으로 관리하는 등 보안대책을 강화할 필요

나. 개선사항

(1) 백업 및 소산정책 불합리

전자금융업무의 안전성 확보를 위하여 데이터베이스, 소스코드, 로그, 어플리케이션

등을 백업하여 소산하고 있으나

OOO 등을 백업·소산하지 않고 있으며 내규에 백업대상, 주기, 방법 등을

명시하지 않아 비상상황 발생시 전산자료가 적시에 복구되지 않을 우려가 있으므로

OOO 등을 백업·소산 대상에 추가하고, 대상, 주기, 방법 등을 내규에 명

시하는 등 관련 사항을 개선할 필요

(2) 정보유출 방지대책 강화

보조기억매체를 통제하기 위해 단말기에 매체제어 시스템을 설치하여 등록된

USB만 사용 가능하며, 개인정보가 포함된 자료의 경우 책임자 승인절차를 거치는 등 보안 대책을 마련하고 있으나 개인정보가 포함되지 않은 자료는 책임자 승인없이 USB를 통해 외부로 반출이 가능하고, 파일 반출 내역이 관리되지 않는 등 정보유출 방지대책이 다소 미흡하게 운영되고 있으며

외부로 메일을 발송하는 경우 메일내용 및 첨부파일에 개인정보 포함여부를

확인하지 않고 별도의 승인절차 없이 발송이 가능하므로

외부 메일 발송시 개인정보 확인 및 승인절차를 강화하고, USB를 통한

전산자료 반출시 책임자 승인절차 및 파일 반출 내역을 관리하는 등 정보유출 방지대책을 강화하여 운영할 필요

(3) 외부 그룹웨어 사용 보안대책 불합리

전자결제 서비스 등을 제공하는 그룹웨어는 외부 서비스를 이용하고 있으나,

동 서비스는 적절한 보안 통제절차 없이 외부 인터넷망에서 접속을 허용하고

있어 내부정보가 외부로 유출될 우려가 있으므로

그룹웨어를 통해 내부정보가 유출되지 않도록 외부 인터넷망을 통한 시스템

접속시 통제절차를 마련하는 등 보안대책을 마련할 필요

(4) 비밀번호 암호화 대책 강화

이용자 비밀번호 보호를 위하여 홈페이지 비밀번호를 암호화 하고 있으며,

내부 관리자 페이지의 경우 ID, 패스워드 외에 별도의 OTP추가인증을 거쳐 접속 가능 하도록 보안대책을 마련하고 있으나

OOO 비밀번호를 보안강도가 미약한 암호화 알고리즘을 사용하고 있어

외부 해킹 등에 의한 비밀번호의 노출 위험성이 있으므로

국가기관에서 권고하는 보안 강도를 가지는 암호 알고리즘을 적용하여 이용자

계정 비밀번호를 암호화하는 등 비밀번호 암호화 대책을 개선할 필요