KB증권주식회사 금감원 경영유의사항 · 2019-04-19

경영유의사항 등 공개안

1. 금융회사명 : KB증권㈜

2. 조치일 : 2019. 4. 19.

3. 조치내용

대 상

내용

기 관 ￭ 개선사항 3건

4. 조치대상사실

가. 개선사항

(1) 단말 공인인증서 예외처리 불합리

공인인증서 발급기관(XXX 등)의 장애로 인한 공인인증서 검증이

불가능한 경우, 업무 연속성 보장을 위해 인증서버에서 공인인증서를 예외 처리하도록 홈트레이딩시스템(이하 “HTS”)에 전달하는 경우 또는 테스트 환경에서 검증 편의를 위하여 HTS의 ◎◎◎◎◎◎을 수동 으로 변경하는 경우 HTS에서 ◇◇◇◇◇ △△절차 없이 업무 처리가 가능하도록 운영하고 있으나,

HTS의 ◎◎◎◎◎◎을 임의 변경하는 방식으로 운영 서버에 접속

하면 ◇◇◇◇◇ △△절차 없이 로그인 및 자금이체 등을 실행할 수 있는 문제점이 있으므로,

◇◇◇◇◇ △△절차 예외 적용은 HTS의 ◎◎◎◎◎◎ 변경 외로

HTS 서버에서도 이중으로 관리하도록 통제하여, ○○이 임의로 ◇◇◇◇◇를 우회 처리할 수 없도록 시스템을 개선하시기 바람

(2) 정보처리시스템 접속방법 및 접근통제 미흡

정보처리시스템 접근 시 서버접근제어시스템(▷▷▷▷▷▷▷)을 이용

하여 사용자별로 서버 접근에 대한 권한을 통제하고, 접근 시 추가인증을 적용하고 있으나,

◎◎ 개발서버와 운영서버 간의 접속을 차단하지 않고 있어, 서버 접근

통제 및 수행 내역에 대한 상시 모니터링 관리가 소홀할 우려가 있고

◎◎서버에 접속할 때 ∇∇ 접속방식(◇◇◇◇◇◇, ○○○)을 사용하고

있어, 네트워크 해킹공격(△△△ 등)을 하는 경우 통신 내용이 유출될 우려가 있으므로,

서버 우회접속을 차단하기 위해 서버접근통제시스템을 통해서만

서버에 접속이 가능하도록 하고, ∇∇ 접속방식(◇◇◇◇◇◇, ○○○) 대신 네트워크 해킹공격에 안전한 암호화 접속방식(◇◇◇, ∎∎∎∎)을 사용 하도록 정보처리시스템의 접근통제를 강화하시기 바람

(3) 이용자 보안카드번호 암호화 불합리

자금이체 시 일부 이용자는 추가 접근매체로 보안카드번호를 이용하며,

제공되는 보안카드번호는 단방향 암호화하여 저장·보관되고 있으나,

저장·보관 시 보안강도가 약한 암호화 알고리즘(◇◇◇◇◇◇)을 사용

하고 있고, 고객 별로 동일한 ◎◎◎ ◎를 사용하고 있어 ○○부터 △△ 까지 ◇◇◇개의 ▽▽▽ ▽을 가지고 있으면, 단방향 암호화를 하였더라도

▽▽▽ ▽과의 □□과정을 통해 손쉽게 암호화 이전의 ▷▷▷▷▷를 알아낼 수 있는 취약점이 있으므로,

▷▷▷▷▷▷ 등 중요정보 암호화 시에는 국가에서 권고하는 보안강도

이상의 암호화 알고리즘을 이용하고, 고객별로 ∎∎ ∎를 사용하는 등 암호화 강도를 높이도록 개선하시기 바람