교보증권(주) 금감원 경영유의사항 · 2018-02-06

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 교보증권(주)

2. 조치일 : 2018. 2. 6.

3. 조치내용

대상

내용

기 관

개선사항 4건

대상

내용

기 관

개선사항 4건

4. 조치대상사실

가. 개선사항

(1) 외부 침입 방지를 위한 보안 운영 강화 필요

외부 침입 방지를 위하여 임직원 PC에 망분리를 적용하고, 백신 프로그램을 설치·운영하는 등 악성코드 감염 방지를 위한 대책을 수립․운용하고 있으나, 검사대상기간 중 내부망 백신 탐지내역을 조사한 결과 윈도우즈 서버 3대에서 악성코드가 탐지되었음에도 이에 대한 유입 경로 분석 및 사유 등을 확인하지 않는 등 사후 관리가 미흡하였고, 매일 PC에 대한 감염여부를 확인하고 미삭제된 악성코드를 관리하고 있으나, 악성코드가 반복 탐지된 일부 PC에 대한 보안 관리가 다소 소홀하므로 앞으로 서버가 악성코드에 감염되는 경우 정확한 원인 분석 등을 실시하여 악성코드의 추가 감염을 방지하기 위한 대책을 마련하고, 동일한 악성코드가 반복하여 탐지되거나 다수의 악성코드가 탐지되는 PC들에 대해서는 악성코드 감염 경로를 분석하는 등 외부 침입을 방지하기 위한 보안 관리를 강화할 필요가 있음

(2) 서버 보안패치 및 기술지원 관리에 관한 사항

서버에 심각한 취약점이 발생할 경우 시스템변경계획서를 통해 수작업으로 보정작업을 실시하고, 윈도우즈 서버의 경우 패치관리시스템(PMS)를 통해 신규 보안 패치를 적용하고 있으나, 검사대상기간 중 리눅스 및 유닉스 서버의 경우 일부 중요 보안 패치는 설치한 반면 일부 보안 패치 적용이 누락되었고, 일부 시스템에서 기술지원이 종료된 운영체제를 사용하고 있어 취약점 보완 및 기능개선 등을 위한 보정작업이 불가하여 신규 취약점을 이용한 해킹, 악성코드 침입 등의 공격에 의해 보안사고가 발생할 우려가 있으므로 운영 중인 서버가 신규 보안패치의 대상인지 확인 후 적용하고, 기술지원이 종료된 운영체제의 구체적인 전환 추진 계획을 수립하고, 전환이 이루어지기 전까지 보안대책을 마련하여 이행하는 등 서버에 대한 보안대책을 강화하여 운영할 필요가 있음

(3) 모바일 금융서비스 이용자 보호대책 강화

모바일 금융서비스 이용자를 보호하기 위해 모바일 앱 위‧변조 방지, 키패드 보안, 통신구간 암호화 등 보안 솔루션을 제공하고 있으나, 모바일 앱 전용 단말기를 인터넷망에 연결하여 모바일 앱 개발업무와 배포 업무를 동시에 수행하고 있어 악성코드 감염 시 소스코드 및 코드서명 인증서 등이 유출될 우려가 있고, 앱 스토어에서 피싱앱이 유통되고 있는지 주기적으로 모니터링 하지 않아, 해커가 탈취한 소스코드와 인증서 등을 이용하여 피싱앱을 유포하는 경우 모바일 금융서비스 이용자가 피해를 당할 우려가 있으므로, 앱 개발용 단말기와 배포용 단말기를 분리하여 운영하고 배포용 단말기에서는 업무상 필요한 인터넷 사이트를 한정하여 접속을 허용하는 등 관리통제를 강화할 필요가 있으며 앱 스토어에 피싱 앱 유통 여부를 주기적으로 점검하는 등 피싱 앱에 대한 모니터링을 강화할 필요가 있음

(4) 백업데이터 검증 관리에 관한 사항

장애·재해 등 비상상황 시 전산데이터 복구를 위해 ｢백업, 소산 및 검증계획서｣ 매뉴얼을 마련하고, 연 4회 업무계․정보계 DB에 대해 데이터 무결성 점검을 포함한 백업 데이터 검증을 실시하고 있으나, HTS(홈 트레이딩 시스템), MTS(모바일 트레이딩 시스템) 및 WTS(웹 트레이딩 시스템) 서버가 ｢백업, 소산 및 검증계획서｣ 복원 테스트(검증) 대상에서 누락되어 있고, 연 4회 수행하는 백업데이터의 검증 수행시 HTS, MTS, WTS 서버 데이터에 대한 무결성을 점검하지 않고 있으므로 전자금융업무에 핵심적인 HTS, MTS 및 WTS 서버의 백업 데이터를 검증 대상에 포함하는 등 절차를 보완하고, 백업 데이터 검증 수행 시 무결성 점검을 수행하는 등 데이터 검증을 강화할 필요가 있음