하나SK카드 금감원 제재공시 · 2013-12-13

제재내용 공개안

1. 금융기관명 : 하나SK카드

2. 제재조치일 : 2013. 12. 13.

3. 제재조치내용

제재대상 제재내용

기 관 -

임 원 주의 명 1

직 원 주의 명 1

4. 제재대상사실

가. 주의사항

공개용 웹서버 관리대책 이행 불철저

(1)

「전자금융감독규정」제 조 제 항 제 호 및 제 조 제 호 및 제 호 의하면 금융기관은

17 4 7 29 6 7

공개용 웹서버가 해킹공격에 노출되지 않도록 접근통제 취약점에 대하여 적절하게 대응 조치를 해야 하고 운영시스템에 대한 프로그램 등록·적용은 관련 책임자 승인 후 해당 ,

프로그램 담당자 이외의 자가 수행해야 하는데도 ,

하나 카드㈜는 ◯◯◯◯ 홈페이지 공개용 웹서버 에 거래기업이 ◯◯◯◯ 관련

SK ( )

정보를 조회 할 수 있는 사이트를 운영하면서 거래기업인 ◯◯◯의 경우 아이디 비밀 , ,

번호 입력 등의 로그인 절차 없이 ◯◯◯◯ 관련 정보 조회가 가능하도록 프로그램을 개발하였으며 동 프로그램을 책임자 승인없이

, 홈페이지 서버에 등록․적용함 2011.12.29.

으로써 검사착수일 , 까지 해킹 공격에 취약한 상태로 홈페이지 공개용 웹서버 를

(2013.6.3.) ( )

운영하였음

< 관련규정 >

1. 「전자금융거래법」 제 조 21

2. 「전자금융감독규정」제 조 및 제 조 17 29

(2) 정보보호최고책임자 지정 불철저

「전자금융거래법」제 조의 제 항 및「전자금융거래법시행령」제 조의 제 항에

21 2 4 11 2 2

의하면 금융기관은 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄하여 책임질

정보보호최고책임자 를 지정함에 있어 학사학위를 취득한 후 년 이상 정보기술

(CISO) , 5

분야 업무를 수행한 경력이 있는 자를 지정해야 하는데도

(IT) ,

하나 카드㈜는 학사학위를 취득한 후 정보기술 분야 업무를 수행한 경력이 ◯년 SK

◯◯개월에 불과하여 동 자격요건에 부합하지 아니한 자를 정보보호최고책임자로 2013.1.1.

지정하였음

< 관련규정 >

1. 「전자금융거래법」 제 조의 21 2

2. 「전자금융거래법시행령」제 조의 11 2