한국거래소 금감원 경영유의사항 · 2017-08-14

경영유의사항 등 공개안

경영유의사항 등 공개안

1. 금융회사명 : 한국거래소

2. 조치일 : 2017. 8. 14.

3. 조치내용

대상

내용

기 관

경영유의사항 1건, 개선사항 5건

대상

내용

기 관

경영유의사항 1건, 개선사항 5건

4. 조치대상사실

가. 경영유의사항

(1) 취약점 점검 결과에 대한 보완조치 이행 관리 미흡

매년 정보처리시스템에 대한 취약점 분석․평가를 실시하고, 발견된 취약점에 대한 보완조치의 이행계획을 수립하여 취약점을 보완하고 있으나, 취약점 보완조치에 대한 이행을 지연하고 취약점 점검 대상이 매년 변경됨에 따라 취약점 보완조치 이행에 대한 추적 관리가 미흡하여 2014년~2016년 중 보완조치 이행 실적이 크게 저조하므로, 취약점에 대한 보완조치가 지연없이 이행될 수 있도록 이행방안을 마련하고, 과거 취약점 점검 결과 보완조치 미이행으로 남아있는 잔여 취약점들을 점검대상에 포함하여 추적관리가 가능하도록 하는 등 실효성 있는 관리방안을 마련할 필요가 있음

나. 개선사항

(1) 개발 및 테스트시 이용자 정보 이용 등에 관한 통제 강화

일부 개발 및 테스트시 이용자 정보의 이용에 관하여 적정성 여부를 확인하는 통제 절차가 없으며, 일부 시스템 개발자가 개발 시스템을 통해 이용자 정보를 조회․출력할 수 있는 것으로 확인 되는 등 정보유출방지 등을 위한 내부 통제가 다소 미흡하므로, 앞으로 개발 및 테스트 시 이용자 정보를 사용하는 경우 불가피성 여부를 판단하는 등의 통제 절차를 마련하고 정보유출 방지 등을 위한 내부통제를 강화하는 등 이용자 정보 이용 등과 관련한 통제 방안을 마련하시기 바람

(2) 외주직원 단말기 통제 강화

단말기 보호를 위해 내부직원 및 외주직원 PC에 대하여 보안점검 및 보안통제를 실시하고 있으나 외주업체 직원이 반입한 PC 단말기에 대하여 PC포맷을 실시하지 않아 동 PC에서 메신저 프로그램이 발견되었으므로, 앞으로 외주직원 PC 반입시 반드시 PC포맷을 실시하고, PC보안솔루션을 설치하도록 하는 등 외주직원 단말기에 대한 관리를 강화하시기 바람

(3) 정보보호위원회 및 CISO에 관한 사항

정보보호최고책임자(CISO)에 의해 중요 정보보호에 관한 사항을 의결하는 정보보호위원회를 운영하고 매월 정보보안 점검을 실시하고 있으나 정보보호위원회 의결 내용 및 정보보안 점검결과 중 일부를 이사장에게 보고하지 않는 등 후속 관리절차가 다소 미흡하므로 앞으로 정보보호최고책임자(CISO)가 정보보호위원회 의결사항 및 정보보안 점검결과에 대한 후속 관리절차를 강화하여 정보보호업무의 실효성이 제고될 수 있도록 개선하시기 바람

(4) IT시스템의 접근권한 및 통제 강화

서버접근통제프로그램 등을 이용하여 IT시스템 및 DB에 대한 접근권한을 통제하고 있으나 사용자가 특정 서버에 접속한 후 서버접근통제프로그램을 거치지 않고 동 서버에서 타 서버로 우회 접속이 가능한 것으로 확인되는 등 접근권한 통제가 일부 미흡하므로, 앞으로 IT시스템 우회 접속 시 작업이력 등을 기록하는 등 서버 접근권한에 관한 보안 대책을 강화하시기 바람

(5) 인터넷PC 통제 정책 관리 강화

해킹방지를 위하여 백신서버를 운영하고 있으며 외주업체를 통하여 모니터링을 실시하고 네트워크 및 시스템을 실시간으로 감시하고 있으나, 일부 인터넷PC에서 비업무용 사이트에 접속한 이력이 확인되고, 동 인터넷PC에 음성통화프로그램 및 문서편집기 등이 설치된 것으로 확인되므로, 앞으로 인터넷PC에서 비업무용 사이트 및 프로그램의 접속 및 설치를 차단하는 등 통제 정책을 강화하시기 바람