㈜케이지이니시스 금감원 경영유의사항 · 2017-10-10

경영유의사항 등 공개안

1. 금융회사명 : ㈜케이지이니시스

2. 조치일 : 2017. 10. 10.

3. 조치내용

대상

기관

내 용

경영유의사항 2건, 개선사항 2건

4. 조치대상사실

가. 경영유의사항

(1) 내부업무시스템 보안대책 강화

□ ○○, ○○ 서비스를 제공하는 그룹웨어는 외부 서비스(○○)를 이용하고 있으나

동 서비스는 적절한 보안 통제절차 없이 외부 인터넷망에서 접속을 허용하고 있어 내부정보가 외부로 유출될 우려가 있으므로

그룹웨어를 통해 내부정보가 유출되지 않도록 외부 인터넷망을 통한 시스템 접속 및 이용을 통제하는 등 보안대책을 마련할 필요가 있음

□ 전자지급결제대행(PG) 서비스 운영을 위해 ○○서버 등 주요 시스템은 내부망에

설치 운영하고 있으나,

내부직원만 사용하는 ○○ 등 일부 시스템을 내부통신망과 외부통신망사이의

운영*하고 있어 외부 침해사고 발생시 내부

독립된 통신망(DMZ) 구간에 설치

정보가 노출될 우려가 있으므로

* 업무용 PC에서만 접속 가능하도록 통제는 하고 있음

○○ 등 내부직원만 사용하는 시스템에 대해서는 내부망으로 이전하는 등 내부

업무시스템에 대한 보안대책을 강화할 필요가 있음

(2) 간편결제 서비스 이용자보호 대책 강화

□ 간편결제 서비스 가입 시 휴대폰(○○) 본인 인증을 거치고, 결제 계좌 등록시

○○를 이용한 출금이체 동의(○○)를 거쳐 휴대폰 명의자(○○, ○○)와 계좌

번호 명의자 일치여부를 확인함으로써 계좌 유효성 체크를 하고 있으나,

해커가 피싱·파밍 등으로 수집한 고객정보(○○, ○○)를 도용하여 ○○을 ○○ 하고 ○○ ○○ ○○을 우회하여 ○○를 등록하는 방법으로 온라인 쇼핑몰 구매 결제 등에 부정 사용할 우려가 있으므로

간편결제 서비스에 취약점이 있는지 점검하여 보완이 필요한 경우 계좌 유효성 검증* 등을 통해 본인인증 절차를 강화하는 등 간편결제 서비스에 대한 이용자 보호 대책을 강화할 필요가 있음

* 서비스 이용자에게 소액을 적요(난수)와 함께 송금하고, 이용자가 인터넷 뱅킹 등을 통해 동 송금 내역을 조회하여 적요와 송금액을 입력하게 함으로써 본인 계좌에 대한 실제 점유 여부를 확인

나. 개선사항

(1) 비상대책 관리 불합리

□ 장애 및 재해 등 비상상황을 대비하여 ○○, ○○을 마련하고 비상대응훈련을

실시하고 있으나

검사대상기간 중 실시한 비상대응훈련은 지침에 따른 실질적인 훈련이 아닌 비상소집 수준에 그치고 있고, 지침 내 대외 보고기준을 상세히 마련하지 않았 으며, 지침을 주기적으로 개정하지 않는 등 관리가 미흡하므로

비상상황을 대비하여 비상대응훈련을 실효성있게 실시하고, 대외 보고 기준을 상세히 마련하는 한편, 지침을 주기적으로 검토하여 보완하시기 바람

(2) 대외연계 통신망 접근통제 불합리

□ 전자지급결제대행업(PG) 등 서비스 제공을 위해 ○○, ○○, ○○ 등과 대외연계

통신망을 구성하고, ○○ 및 ○○ 등과의 연결 구간에 장비 및 회선 등을 이중화 하여 장애 발생 시 백업 통신구간으로 자동전환(Failover) 되도록 설정 운영하고 있으나,

주전산센터의 일부 대외연계 백업 통신구간에는 네트워크 접근통제를 위한

○○ 등의 정보보호시스템을 설치하지 않아 장애로 인해 백업 통신구간으로

서비스가 전환되는 경우 대외연계 통신망으로부터 내부 통신망으로의 비인가 접근이 발생할 우려가 있으므로

주전산센터의 대외연계 백업 통신구간에 ○○ 등 정보보호시스템을 구성하는 등 대외연계 통신망의 접근통제를 강화하여 운영하시기 바람