한국스탠다드차타드은행 금감원 제재공시 · 2014-12-05

제재내용 공개

1. 금융기관명 한국스탠다드차타드은행

:

2. 제재조치일 : 2014. 12. 5.

3. 제재조치내용

제재대상 제재내용

기관 개선 건 2

직원 조치의뢰 건 2

4. 제재대상사실

가. 조치의뢰 사항

(1) 자동화기기 관리서버의 관리자 단말기 보안대책 불철저

「전자금융거래법」제 조 「전자금융감독규정」제 조 제 호 등에 의하면 금융회사는

21 , 12 3

전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 하며 정보처리시스템 관리용 단말기 등 중요 단말기에 대하여는 노트북 등 휴대용 전산장비 사용 금지 인터넷 접속 금지 메일 송·수신 금지 그룹웨어 접속 금지 등 강화된 보호대책을

, , ,

수립·운용하여야 하는데도

검사착수일 현재 한국스탠다드차타드은행은 자동화기기

(2014.4.15.) 모니터링 (CD/ATM)

시스템 관리서버 등 ◇대의 서버를 운영하면서 동 서버의 관리자 단말기에 대한 보안업무를 다음과 같이 소홀히 하였음

㈎ 모니터링시스템 관리서버의 관리자 단말기 보안대책 미흡 자동화기기 모니터링시스템 관리서버를 운영하면서 동 서버에 원격 접속하여 권한

관리 및 중요자료의 송수신이 가능한 관리자 단말기 ◇대를 지정 운영하고 있으나 인터넷 ,

및 그룹웨어 접속을 차단하지 않고 외부메일 송 수신 기능을 허용한 상태로 운용하였으며 ,

이중 ◇대는 노트북을 관리자 단말기로 사용하는 등 자동화기기 모니터링시스템 관리서버의 관리자 단말기에 대한 보안대책을 소홀히 하였음

㈏ 백신 및 보안패치 관리서버의 관리자 단말기 보호대책 미흡 자동화기기 백신 및 보안패치 관리서버를 운용하면서 동 서버에 원격 접속하여 자동화 기기에 각종 백신 및 보안패치의 적용이 가능한 관리자 단말기 ◇대를 외부용역직원에게 위탁 운영하면서 인터넷 접속을 차단하지 않은 상태로 운용하는 등 보안패치 관리서버의 관리자 단말기에 대한 보안대책을 소홀히 하였음 ㈐ 전자문서관리시스템 관리서버의 관리자 단말기 보호대책 미흡 자동화기기에 연계된 전자문서관리시스템 관리서버를 운영하면서 동 서버에 원격 접속하여 자동화기기로부터 전송된 고객의 정보를 조회하거나 저장할 수 있는 관리자 단말기 ◇대를 외부용역직원에게 위탁 운영하면서 인터넷 접속을 차단하지 않고 외부메일 송 수신 기능을 허용한 상태로 운용하는 등 전자문서관리시스템 서버의 관리자 단말기에 대한 보안대책을 소홀히 하였음

(2) 정보처리시스템 가동기록 미보존

「전자금융감독규정」제 조 제 항 제 호 및 제 항에 의하면 금융회사는 정보처리

13 1 11 4

시스템에 접속한 일시 접속자 및 접근을 확인할 수 있는 접근기록 등 정보처리시스템의 ,

가동기록이 자동적으로 기록 유지되도록 하고 그 가동기록은 년 이상 보존하여야 하는데도

, 1

검사착수일 현재 자동화기기 모니터링시스템 관리서버 등 총 ◇대의 자동화

(2014.4.15.)

기기 관리서버를 운영하면서 동 서버에 대하여 관리자 등의 접속기록을 기록 유지하지 않는 등 정보처리시스템의 가동기록을 보존하지 아니하였음

나. 개선사항

⑴ 자동화기기 파일배포 관련 보안대책 미흡

검사착수일 현재 한국스탠다드차타드은행은 자동화기기의 보안패치 등을

(2014.4.15.)

위하여 전체 영업점에 대표단말기 ◇대를 지정 운용하고 있으나 동 단말기는 인터넷 ,

접속 및 외부메일 송 수신 기능이 허용되어 있고 내 외부인에 의한 해킹 등에 노출될 ,

경우 단말기 내에 저장된 자동화기기 패치 등의 배포파일 위 변조 등을 통해 자동화기기 및 내부시스템이 해킹 등의 위협에 노출될 소지가 있으므로 - 2 -

앞으로 자동화기기에 배포하는 파일은 각 영업점의 특정 단말기를 경유하지 않고 전산센터내 전산부서에서 운영하는 중앙관리서버을 통해 직접 배포할 수 있도록 관련 시스템을 합리적으로 개선하시기 바람

( 관련부서 정보시스템운영부

: )

⑵ 자동화기기에 대한 보호조치 미흡

검사착수일 현재 한국스탠다드차타드은행 ◎◎지점의 자동화기기에 대한

(2014.4.15.)

운영 현황을 점검한 결과 동 영업점에 설치된 자동화기기에는 자동화기기 처리업무에 ,

불필요한 인터넷 브라우저 가 설치되어 있고 휴대용저장매체 의 읽기

(iExplorer.exe) , (USB)

기능이 허용되어 있어 외부 유지보수 직원에 의한 고객정보의 유출 가능성이 있으며 ,

자동화기기의 핵심업무를 처리하는 프로세스에 대한 무결성 검증을 파일명으로만 실시 하고 있어 악성코드의 파일명을 보안정책에서 허용한 프로세스명 등으로 변경하여 실행할 경우 자동화기기 및 내부시스템이 해킹 등의 위협에 노출될 소지가 있으므로 앞으로 자동화기기에는 업무목적 이외의 불필요한 응용프로그램의 설치를 금지하고 휴대용저장매체의 읽기 기능을 차단하는 한편 자동화기기에서 고객정보를 처리하는 중요 ,

프로세스에 대해서는 무결성 검증 및 모니터링 체계를 강화할 수 있는 보안대책을 마련 운용하시기 바람

관련부서 정보시스템운영부 정보보안부

( : , )