농협은행주식회사 금감원 제재공시 · 2015-03-20

제재내용 공개

1. 금융기관명 농협은행 :

2. 제재조치일 : 2015. 3. 20.

3. 제재조치내용

제재대상 제재내용

기관 경영유의 건 개선 건 1 , 1

직원 조치의뢰 건 2

4. 제재대상사실

가. 경영유의 사항

⑴ ◇◇시스템에 대한 통제 강화

기간 중 농협은행을 대상으로 금융권 정보보호 및

2013. 11. 6. ~ 2013. 12. 4. ‘

사이버안전관리 감독실태 에 대하여 감사를 실시하였고 감사 당시 농협은행이 사용

’ ,

중인 ◇◇시스템에서 ◎◎◎취약점 등이 발견되는 등 위험에 노출되어 있었는바 동 시스템의 고도화 유도 및 취약점 점검 강화 등을 통하여 위험에 노출되지 않도록 동 시스템 이용과 관련한 통제를 강화할 필요가 있음

나. 조치의뢰 사항

(1) IT 위탁관리 불철저

㈎ 전산자료 보호대책 관련 IT위탁관리 소홀에 관한 사항 전자금융감독규정 제 조 제 항에 따르면 금융회사는 전산자료의 유출 파괴

13 1 ,

등을 방지하기 위하여 전산자료를 입력 출력 열람함에 있어 사용자의 업무별로 접근 · ·

권한을 통제하도록 전산자료 보호대책을 수립 운용하여야 하는데도 ·

감사 당시 농협은행은 농협중앙회에 대한 위탁관리 소홀로 인해 ⃝개의

(2013.11.6.)

내부 업무시스템에서 ◎◎취약점이 발견된 가운데 접근권한이 없는 사용자가 전산

시스템에 접근하여 악성코드 유포 및 전산자료 유출 등의 조작이 가능하였고 ,

일부 시스템의 경우 접근권한이 없는 사용자도 관리자 권한 획득이 가능하고 전산자료에 접근할 수 있는 등 전산자료 보호대책을 소홀히 하였음 ㈏ 해킹 등 방지대책 관련 IT위탁관리 소홀에 관한 사항 전자금융감독규정 제 조 제 항 및 제 조 제 항에 따르면 금융회사는 정보

15 1 16 1

처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 시스템 프로그램 등의 긴급하고 중요한 보정 사항에 대한 즉시 보정작업을 실시하는 등 (patch)

방지대책을 수립 운용하여야 하고 ,

악성코드 감염을 방지하기 위하여 응용프로그램을 사용할 때에는 악성코드 검색 프로그램 등으로 진단 및 치료 후 사용하고 감염이 발견된 경우 악성코드 확산 및 ,

피해를 최소화하기 위하여 필요한 조치를 신속하게 취하여야 하는데도 ,

감사 당시 농협은행은 농협중앙회에 대한 위탁관리를 소홀히 하여 중요 정보

처리시스템의 운영접속 단말기에서 사용중인 프로그램이 최신 버전으로 보정 ◈◈

되지 않아 동 단말기에서 보안상 취약점이 있는 내부시스템에 접속할 경우 악성

코드가 감염될 수 있도록 취약하게 운영하였으며 ,

기간중 일부 자동화기기 ⃝대 에서 악성코드가 완벽하게

2013.10.4.~2013.11.14. ( )

치료되지 않아 반복적으로 감염되고 있음에도 이에 대한 원인규명이나 해결방안 등의 조치를 취하지 않았고 전산작업 전용 노트북 ⃝대 에도 악성코드 검색프로그램을

, ( )

설치하지 않아 응용프로그램을 사용할 때 악성코드의 진단 및 치료가 되지 않는 등 해킹방지 대책을 소홀히 운영한 사실이 있음

(2) 테스트 데이터 변환 등 관리 불철저

전자금융감독규정 제 조 제 항에 따르면 금융회사는 전산자료의 유출 파괴

13 1 ,

등을 방지하기 위하여 테스트 시 이용자 정보사용을 금지하되 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시

삭제하여야 하는데도 ,

농협은행은 전산프로그램 개발 및 부하 테스트 시 불가피한 경우 이용자 정보를

변환솔루션을 통해 변환하여 사용하였으나 ,

이용자 정보 중 고객성명 ⃝건 이 변환되지 않고 테스트 서버에 저장되어 있었

( )

으며 동 변환된 이용자 정보 및 고객성명 정보가 프로그램 개발 및 테스트가 종료 ,

된 후에도 삭제되지 않았음

나. 개선사항

⑴ 비밀번호 암호화알고리즘 강화

농협은행은 이용자 및 내부사용자 비밀번호의 안전한 보관을 위하여 암호화를 적용하고 있으나,

◇◇시스템관리자 비밀번호 등 ⃝개 비밀번호에 대해서는 보안강도가 낮은 알고 리즘 등으로 암호화하고 있어

비밀번호의 보안이 취약하므로 암호화 알고리즘 고도화 등을 통하여 보안을 강화할 필요가 있음