수산업협동조합중앙회 금감원 제재공시 · 2014-12-05

제재내용 공개

1. 금융기관명 수산업협동조합중앙회 :

2. 제재조치일 : 2014. 12. 5.

3. 제재조치내용

제재대상 제재내용

기관 개선 건 3

직원 조치의뢰 건 1

4. 제재대상사실

가. 조치의뢰 사항

(1) CD/ATM 보안통제 불철저

「전자금융거래법」제 조 「전자금융감독규정」제 조 제 조 제 항 제 호 제 호

21 , 7 , 15 2 2 , 4 ,

제 조 제 항 제 호에 의하면 금융회사는 정보보호시스템을 설치․운영하는 경우

16 1 2

에는 원격관리를 금지하고 최소한의 서비스 번호 포트 와 기능만을 적용하여야, ( )

하며 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위하여 악성코드 검색 및 ,

치료프로그램을 최신 상태로 유지하여야 하는데도 가 수산업협동조합중앙회 이하 수협중앙회 는 검사 착수일 현재

( ) 백신 ( ) CD/ATM

업데이트를 위한 백신관리서버에 대한 원격접속 서비스 번호 포트 등에 대한 방화벽 ( )

통제를 하지 않아 인터넷 접속이 가능한 미인가 에서도 백신관리서버에 원격으로 PC

접속이 가능하도록 방화벽 정책을 운영하였으며 나 수협중앙회는 검사 착수일 현재 백신프로그램의 오류 등으로 전체

( ) CD/ATM

O대 중 대에 설치된 백신 프로그램을 최신 상태로 갱신하지 아니하여 외부 바이러스 O

감염 등의 위험에 노출된 상태로 운영하였음

나. 개선사항

(1) CD/ATM 단말기 보안관리 비밀번호 관리 불합리

검사착수일 현재 에 설치되어 있는 보안 프로그램 ◇◇ 의 관리자

(2014.4.21.) CD/ATM ( )

기능을 활성화하기 위해서는 단계 인증절차를 거치도록 운영하고 있으나

2 ,

1단계 사용자 인증시 입력하는 비밀번호가 자리 미만으로 구성되어 있고 유추하기 8

쉬운 비밀번호를 사용하는 등 비밀번호 관리에 불합리한 점이 있으므로 강화된 비밀 ,

번호 관리 대책을 마련하여 개선하시기 바람

관련부서 정보보안팀 ( : )

(2) CD/ATM 단말기 망 운용환경 불합리

CD/ATM 망은 인터넷 망과 별도의 폐쇄망으로 운용하여 중요 개인정보 및 금융 거래 정보 등이 인터넷을 통해 외부 유출을 막고 악의적인 해커의 외부공격 등을 원천적 으로 차단하는 것이 바람직함에도

수협중앙회는 유해사이트 차단 프로그램을 이용하여 에 할당된 주소에서 CD/ATM IP

인터넷 접속이 안되도록 차단하고 있으며 소프트웨어를

, NAC(Network Access Control)

통해 의 를 임의로 변경하지 못하도록 하고 있으나

CD/ATM IP

CD/ATM망을 인터넷 망과 별도의 폐쇄망으로 구성하지 않고 인터넷 연결이 가능한 일반직원 와 동일한 망을 사용하고 있으며

PC 내에 일반직원 에서 접근이

, CD/ATM PC

가능한 공유폴더가 생성되어 있어 공유폴더를 통해 외부로 자료를 유출시키거나 악성 코드가 설치될 가능성이 있으므로

대외 자료 유출 악의적인 해킹 공격 등을 차단하기 위하여

, CD/ATM 망을 별도의

폐쇄망 분리하는 등 망 운용환경을 개선하시기 바람

( 관련부서 정보보안팀

: )

(3) CD/ATM 단말기 모니터링 시스템 관리 불합리

수협중앙회는 단말기 가동상태 등을 확인하기 위하여 채널관리시스템을

CD/ATM

운영하고 있으나 시스템의 작동여부만 확인이 가능하고 단말기의 원격 재기동

CD/ATM

등 중앙통제 기능이 미흡하며

채널관리시스템 접속시 사용자 인증을 하고 있으나 사용자 인증 없이 특정 을

, URL

직접 입력해도 해당 페이지에 접근이 되는 등 보안이 취약하게 운영되고 있으므로 채널관리시스템이 단말기 원격 재기동 마련 등 중앙통제 기능을 강화하고 미 인증된 사용자의 입력 접속을 차단하는 등

URL 모니터링 시스템의 미흡한 관리

CD/ATM

환경을 개선하시기 바람

( 관련부서 지원부

: IT )