우리금융정보시스템 금감원 제재공시 · 2014-10-29

제재내용 공개

1. 금융기관명 우리에프아이에스

:

2. 제재조치일 : 2014. 10. 24.

3. 제재조치내용

제재대상 제재내용

기관 경영유의 건 개선 건 1 , 2

임원 -

직원 조치의뢰 건 1

4. 제재대상사실

가. 경영유의 사항

(1) 지원 종료 운영프로그램 사용에 따른 보안통제 강화

일부 운영체제는 기술지원이 종료되어 새로 발견된 취약점을 이용한

Windows

해킹 및 악성코드에 의한 공격 우려가 있어 동 운영체제를 사용하는 서버 총 ○ 대의 서버와 에 대하여 운영체제 전환계획을 수립 시행하고 있으나

PC ·

○대의 에 대해서는 계획 대비 전환이 지연되고 있으므로 미전환 에

PC , PC

대하여 전환 계획을 구체적으로 수립하여 조속히 운영체제 전환을 완료하시기 바람

관련부서 시스템운영부 시스템적용부

( : , )

나. 조치의뢰사항

(1) 중요단말기 통제 불철저

전자금융거래법 제 조 전자금융감독규정 제 조 등에 의하면 금융회사는

」 21 , 」 13

중요 단말기에 대하여는 업무 전용단말기 지정 사용 인터넷 접속 금지 그룹웨어 ․ , ,

접속 금지 등 강화된 보호대책을 수립 운용하여야 하는데도 · ,

중요단말기 ○○대 중 ○대는 그룹웨어 접속 허용 ○대는 업무 전용단말기 ,

미지정 및 인터넷 접속 허용 그룹웨어 접속 허용 등 중요단말기에 대한 관리를 ,

소홀히 하였음

( 관련부서 정보보안부

: )

다. 개선사항

(1) 데이터베이스 계정관리 불합리

(가 데이터베이스 관리자가 계정 생성 시 정보보안부 승인 절차를 거친

) DB

후 데이터베이스 관리자가 계정 생성을 하고 있으나 ,

월 이전에 생성한 계정에 대해서는 사용 부서 및 용도가 관리되지

2011.11 DB

않는 등 사용자계정 관리가 불합리하므로 사용부서 및 사용용도를 관리하도록 ,

개선하시기 바람

(나 계정에서 복잡도가 낮은 비밀번호는 발견되지 않았으나 일부 계정의

) DB DB

경우 관리시스템 내 계정 프로파일을 설정하고 있지 않아

DB ,

향후 동 계정들은 복잡도가 낮은 비밀번호 설정 등의 우려가 있으므로 ,

계정 프로파일을 설정하여 비밀번호 복잡도 등의 설정 등이 강제화 되도록 관련 시스템을 개선하시기 바람

( 관련부서 정보보안부

: )

(2) 단말기 및 전산자료 보호대책 강화

등 저장매체를 통한 내 고객정보 유출방지를 위하여 고객정보유출

USB PC

방지시스템 문서보안시스템 네트워크접근제어시스템 등을 구축하여 운영하고

, ,

있으나 다음과 같은 불합리한 점이 있는바 개선하시기 바람 ,

(가 단말기에 원격 데스크탑 기능을 차단하고 있지 않아 타 사용자 에

) PC

무단 접근 가능성이 있어 단말기내 정보유출 등이 우려됨 (나 정보시스템에서 다운로드 받은 파일을 에 저장 시 실시간 암호화가

) PC

지원되지 않아 ○일 ○회 정해진 시간에 에 저장되어 있는 파일에 대해 문서 PC

암호화를 수행하고 있으나 암호화 저장 전까지 일시적으로 암호화되지 않은 파 ,

일이 유출될 경우 열람이 가능할 수 있음

(다 그룹내 금융회사간 동일 문서보안프로그램과 문서암호화 키를 사용하 )

고 있어 계열사 간 공유가 허용되지 않아야 할 문서가 타 계열사에서 열람될 수 있음

( 관련부서 정보보안부

: )