광주은행 금감원 제재공시 · 2014-10-24

제재내용 공개

1. 금융기관명 : 광주은행

2. 제재조치일 : 2014. 10. 24.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 개선 3건

[/표]

4. 제재대상사실

가. 개선사항

(1) CD/ATM 단말기 보안프로그램 비밀번호 관리 불합리

검사착수일 현재(2014.4.15.) CD/ATM기 운영과 관련된 단말기 보안프로그램의 관리자 기능을 활성화하기 위해서는 2단계 인증절차를 거치도록 운영하고 있으나

1단계 사용자 인증 시 입력하는 비밀번호가 ○자리 미만으로 구성되어 있고 유추하기 쉬운 비밀번호를 사용하는 등 비밀번호 관리에 불합리한 점이 있으므로, 강화된 비밀번호 관리 대책을 마련하여 개선하시기 바람

(관련부서 : IT지원부)

(2) CD/ATM 단말기 망 운용환경 불합리

검사착수일 현재(2014.4.15.) CD/ATM을 운영함에 있어 방화벽과 유해사이트 차단시스템 등을 통해 CD/ATM 단말기의 인터넷 접속을 차단하는 정책을 적용하고 있으나

인터넷 등기소 등 약 ○○개 인터넷 사이트와의 통신은 허용하고 있음에 따라 접속이 허용된 공개망을 통한 비인가 접근 등의 우려가 있으므로, CD/ATM기는 인터넷망과 분리된 폐쇄망으로 구성하여 운영함으로써 인터넷 접근이 원천적으로 불가능하도록 차단하는 등 대책을 마련하여 망 운용환경을 개선하시기 바람

(관련부서 : 정보보안부)

(3) CD/ATM 관리서버에 대한 사용자 인증 불합리

검사착수일 현재(2014.4.15.) CD/ATM기의 원격 재기동 및 모니터링을 위한 관리자용 프로그램에 대한 사용자 인증수단으로 ID와 비밀번호를 이용한 인증 방법을 적용하고 있으나,

“CD/ATM 기기 장애 LIST 조회” 화면의 사용자인증 확인 기능을 누락하여 해당 접근권한이 없어도 URL만 입력하면 동 화면에 접속이 가능하도록 운영하는 등 보안이 취약하게 시스템을 운영한 사실이 있는 바,

누락된 사용자 인증 기능을 추가하는 등 관리자 페이지에 대한 취약점을 합리적으로 개선하시기 바람

(관련부서 : 정보보안부)