㈜카카오 금감원 경영유의사항 · 2018-11-28

경영유의사항 등 공개안

1. 금융기관명 : ㈜카카오

2. 조치일 : 2018. 11. 28.

3. 조치내용

4. 조치대상사실

가. 경영유의사항

(1) 전자금융 및 IT부문 업무 내부통제 강화

전자지급결제대행업 등 전자금융업을 영위하면서 전자금융 및 관련 IT부문 업무에 대한 적정성을 주기적으로 점검하는 내부통제 체계가 갖추어져 있지 않아 전자금융 및 관련 IT부문 업무 전반에 걸쳐 미흡사항이 발견되고 있으므로

전자금융 및 관련 IT업무에 대한 적정성을 점검할 수 있도록 자체감사 등 내부통제 담당자를 지정하고 자체점검 항목 등을 마련하여 주기적으로 점검하는 등 내부통제 체계를 강화할 필요

나. 개선사항

(1) 무선통신망 접근통제 방식 불합리

내부 업무용시스템 및 인터넷 접속을 위해 사내 무선통신망을 구축하고, 무선망 접속 시 보안인증(OOO.OO 및 OOOOOO서버 이용) 절차를 거치고 있으나,

단말기 고유번호(Mac 주소)에 대한 통제를 적용하고 있지 않고, 내부 업무용 단말기 이외에 OOO OOOO에서도 무선통신망 사용 시 내부망 IP주소가 할당되어 비 업무용 단말기를 통해 내부망에 부당하게 접속할 가능성이 있고, OOO OOOO이 악성 코드에 감염되는 경우 내부망에 연결된 내부 업무용 단말기 등에 침해사고가 발생 할 우려가 있으므로

무선통신망 사용 인가자가 업무용 단말기만을 사용할 수 있도록 단말기 고유번호 (Mac 주소)를 등록 통제하고, OOO OOOO의 경우 인터넷 이외의 내부망에 접속되지 않도록 무선통신망에 대한 접근통제 방식을 개선할 필요

(2) 네트워크 접근통제 불합리

운영서버에 비해 상대적으로 보안관리가 취약한 OOOOO 관련 개발서버(총 OO대)를 OOO구간에 구축 운영하고 있어 개발서버에서 악성코드 감염 등 해킹사고 발생 시 OOO구간에서 운영 중인 OOO OOO 등 운영서버에도 영향을 줄 우려가 있으므로

OOO구간에 위치한 개발서버를 내부 개발용 네트워크로 이전 구성하여 OOOOO 관련 운영서버 네트워크 환경과 분리 운영 하는 등 네트워크 접근통제를 강화할 필요

(3) 서버 접근통제 방식 불합리

정보처리시스템에 대한 접근 통제 및 추가인증 적용을 위해 자체적으로 서버접근 통제시스템(OOOOO)을 개발하여 아이디, 비밀번호, 추가인증(OOO)을 거쳐 서버에 접근 하도록 운영하고 있으나

내부사용자가 서버접근통제시스템을 경유하여 OO에 접속한 후 OO OO에 접속할 경우에는 동 시스템을 경유하지 않고 우회 접속이 가능하여 추가인증 등이 누락될 우려가 있으므로

서버접근통제시스템을 경유하지 않고 OO OO로 접근할 수 없도록 내부사용자의 OO 직접 접속경로(OO와 OOOOO)를 제한하는 등 서버 접근통제를 강화할 필요

(4) 사용자 단말기 통제 관리 불합리

네트워크 장치 연결 및 저장매체 통제, 악성코드 감염 등을 방지하기 위해 사용자 단말기에 PC보안프로그램(OO社, OOOOO)을 설치 운영하고 있으나,

사용자 PC(OO社 OOO OO)에서는 동 PC보안프로그램의 OOOO 및 OOO OO 장치 연결, OOOO OO 차단 등의 일부 보안기능이 정상적으로 작동하지 않아 정당한 승인 절차 없이 내부자료가 반출되거나 임의 저장매체 연결로 인한 악성코드 유입 가능성이 있으므로

OOOO 및 OOO OO장치 연결, OOOO OO 차단 등의 보안 기능이 정상적으로 작동 할 수 있도록 PC보안프로그램을 개선 적용하고, 예외사용 필요 시 책임자의 승인을 받는 한편, 사용 내역을 주기적으로 점검하는 등 사용자 단말기 통제 절차를 개선할 필요