농협중앙회 금감원 제재공시 · 2014-10-24

제재내용 공개

1. 금융기관명 : 농협중앙회

2. 제재조치일 : 2014. 10. 24.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 개선 1건

임 원 |

직 원 |

[/표]

4. 제재대상사실

⑴ 자동화기기(CD/ATM) 운영 및 관리 강화

농협중앙회는 전자금융거래의 안전성을 확보하기 위해서 자동화기기(CD/ATM)에 대해서 필요한 보안조치 등을 실시하고 주기적으로 CD/ATM 운영 실태를 점검하는 등 관리를 철저히 하여야 함에도,

검사착수일 (2014.4.24.) 현재 CD/ATM 운영현황을 점검한 결과 아래와 같이 미흡한 사항이 있었으므로 관리 대상 기기 파악, 업무연속성 확보 및 네트워크 접근통제 등 기기에 대한 보안조치를 철저히 하고 주기적으로 현장점검을 실시하는 등 운영 및 관리를 강화할 필요가 있음

(가) CD/ATM 업무연속성 확보 및 네트워크 통제 강화필요

검사착수일(2014.4.24.) 현재 정확한 CD/ATM 운영 대수*가 파악되지 않고 있으며 CD/ATM 운영체계(OS) 중의 하나인 윈도우XP에 대한 기술지원이 종료되었음에도 지점별 최소 1대 이상 윈도우XP 상위 버전 기반의 CD/ATM을 운영을 하지 않는 등 보안위협 및 장애 등에 대한 대비가 미흡하고,

* 영업점지원팀 관리 기준 ◇,◇◇◇대, 대외채널팀 관리 기준 ◇,◇◇◇대

CD/ATM의 인터넷 연결을 차단하고 있으나 네트워크 접근제어 솔루션을 적용하고 있지 않아 CD/ATM의 IP 주소를 해당 지점의 IP 대역으로 임의로 변경하는 경우 CD/ATM에서 인터넷 연결이 가능하며 민원대응을 위하여 저장하고 있는 카드 등의 이미지 파일에 대해서 암호화를 적용하지 않고 있어 카드정보가 유출될 우려가 있음

(나) CD/ATM기 유지보수용 계정 비밀번호관리 강화필요

관악농협의 CD/ATM을 현장 점검(2014.4.22.) 한 결과 유지보수업체ID의 비밀번호를 초기화 하면 ID와 동일한 비밀번호로 설정되도록 운영되고 있었으며, 유지보수업체ID*의 비밀번호 관리기록부 작성이 일부 누락되는 등 비밀번호의 등록·변경·폐기를 미흡하게 운영되고 있었음(검사 기간 중 시정완료 하였음)

* CD/TM유지보수 업체(효성) 직원이 공동으로 이용하는 아이디(□□□□□)로 ATM기기의 USB 읽기기능을 활성화하는데 이용되며, USB 쓰기 권한 등 추가권한 획득을 위해서는 응급키 또는 마스터키의 추가 발급 및 입력이 필요