네이버㈜ 금감원 경영유의사항 · 2019-07-17

경영유의사항 등 공개안

1. 금융기관명 : 네이버(주)

2. 조치일 : 2019. 7. 17.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 업무연속성 확보대책 실효성 강화

업무연속성계획서 에는 비상상황 발생 시 서비스 중요도에 따라 복구우선순위를 구분(상 중 하)하고 중요도가 ‘상’인 서비스(이하 ‘핵심업무’로 표기)의 경우 복구목표 시간을 OO시간으로 정하고 있으나,

동 계획을 수립하면서 ‘OOO정보 및 OO 조회’ 업무 이외에 전자금융업의 본질 업무에 해당하는 ‘OOOOO OO 및 OO' 관련 업무 등에 대해서는 핵심업무로 선정 하지 아니하여 재해 등 비상상황 시 대고객 서비스(OOOOO)의 마비로 인해 이용자의 불편이 우려되며

동 계획에는 주전산센터 전환 필요 상황을 대비한 세부 방안을 사전에 마련하지 않고, 상황 발생시점에 검토하도록 정하고 있어

실제 비상상황 발생 시 대체시스템 및 통신회선 구성, 대체시스템 가동 복원 절차 등 대책을 검토하는데 상당한 시일이 소요됨으로써 업무연속성 확보에 어려움이 예상되므로

업무별로 업무연속성 확보의 중요도를 고려하여 핵심업무 및 복구목표시간 등을 합리적으로 재선정하고, 주전산센터 전환 상황을 대비하여 핵심업무 복구에 필요한 대체시스템 및 통신회선 구성, 대체시스템 가동 복원 절차 등 세부 방안을 포함하는 업무연속성 확보대책을 마련할 필요

(2) 환불정산액 이용자 안내 강화

OOOOO OOOO 제OO조에 의하면 OOOOO 결제대금 환불정산액의 출금청구권

소멸시효를 최종 환불정산액 적립(사용, 충전 포함) 시점부터 O년으로 정하고 있고,

동 약관에 따라 환불정산액 소멸시효(O년)가 지나 최초 환불정산액 소멸이 발생한 OOOO.OO.O. 이후 OOOO.OO.OO.까지 총 OOO백만원(OO,OOO건)을 이용자의 환불정산액에서 차감하였으나,

환불정산액 적립 시 소멸시효에 대해 이용자에게 별도 안내하지 않아 OOOOO 이용자가 환불정산액 소멸로 인한 금전적 손해에 대해 적시 인지하지 못할 우려가 있으므로

이용자가 환불정산 방법(적립 또는 환불계좌 등록) 선택 시 팝업창으로 소멸시효 기간 등을 안내하여 이용자가 금전적 손해에 대해 충분히 인지할 수 있도록 관련 절차를 강화할 필요

나. 개선사항

(1) 자체 보안성검토 운영절차 불합리

내규 OOOOO 보안지침 에 의하면 신규 서비스 출시 전이나 서비스 운영 중 중요 소스코드나 프로그램 로직의 변경이 있는 경우 기술적 보안성검토를 하도록 규정 하고 있으나,

보안성검토 대상 선정에 대한 구체적인 판단 기준 등 통제 절차를 마련하지 않아 OOOO 신규 추가 등 보안성 검토가 필요한 서비스 개발 건이 발생하였음에도 보안성 검토가 일부 누락되었고,

보안성 검토 결과 발견된 미흡사항에 대한 최종 조치완료 여부에 대해 확인하지 아니하고 서비스 오픈을 허용하는 등 보안성검토 절차 관리 미흡으로 인해 보안사고가 발생할 우려가 있으므로

보안에 중요한 영향을 미치는 서비스 개발 건 등에 대한 기술적 보안성 검토 절차가 누락되지 않도록 보안성 검토 대상 선정 절차를 보완하고, 보안성 검토 결과 발견된 미흡사항은 조치완료 여부를 최종 확인 후 서비스가 오픈될 수 있도록 관련 통제 절차를 개선할 필요

(2) 포인트 적립 처리절차 불합리

이벤트 등을 목적으로 OOOOO 포인트를 이용자에게 적립해주는 경우 이벤트 기획 담당자가 OOOO시스템을 활용하여 적립 대상자 및 포인트를 지정하고 포인트 관리 담당자가 이를 승인한 후 포인트를 일괄 적립하고 있으나,

포인트 적립 처리과정에서 최대 포인트 적립 한도를 제한하는 등 입력 값 이상 여부를 검증하는 절차가 없어 담당자 오입력 등 작업실수의 우려가 있고, 포인트 관리담당자가 포인트 적립 대상자를 추출하여 등록하는 경우 자가 승인 처리가 가능 하여 포인트 적립 통제절차를 우회할 가능성이 있으므로

포인트 적립 처리과정에서 건별, 이용자별 최대 포인트 적립 한도를 제한하는 등 시스템 입력 값에 대한 검증 절차를 추가하고, 포인트 적립 시 승인 절차를 강화 하는 등 포인트 적립 처리절차를 개선할 필요

(3) 무선통신망 운영 관리 불합리

내규 OO OOOO 보안관리 가이드라인 제7조 등에 따라 내부 무선통신망(Wi-Fi)을 구축하고 비인가 무선통신망 사용을 통제하기 위하여 무선침입방지시스템(WIPS)을 설치 운용하고 있으나,

동 가이드라인에서 지정한 무선 표준규격 이외에 최근 무선기기에서 지원하는 무선 표준규격(OOO.OOOO) 사용을 내부 무선통신망에서 허용하면서도,

OO(OOOOO)에 설치 운영 중인 무선침입방지시스템(WIPS)에서는 최근 규격

(OOO.OOOO)에 대한 탐지 차단 기능을 지원하지 아니하여 비인가 무선기기 통제에 보안 취약점이 존재하므로

무선통신망 운영 시 보안 취약점이 발생하지 않도록 최신 무선 표준 규격의 기술적인 특성 등을 주기적으로 검토하여 무선접속장비(AP) 및 무선침입방지시스템(WIPS)에 설정 등을 적용하는 등 무선통신망 운영 관리를 개선할 필요