우리카드 금감원 제재공시 · 2015-05-29

제재내용 공개안

1. 금융기관명 : ㈜우리카드

2. 제재조치일 : 2015. 5. 29.

3. 제재조치내용

제재대상 제재내용

기 관 기관주의 개선 건 , 3

임 원 주의 명 1

직 원 견책 명 1

4. 제재대상사실

가. 문책사항

(1) 개발용 데이터베이스 운영·통제 불철저

전자금융감독규정 제 조 제 항 제 호 및 제 호에 의하면 금융회사는 외부사용자

13 1 2 10

에게 사용자계정을 부여하는 경우 개인별로 최소한의 작업권한만 할당하고 적절한 통제 장치를 갖춰야 하고 테스트 시 이용자 정보를 사용해서는 아니되고 부하 테스트 등 ,

사용이 불가피한 경우에는 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 하며

동 규정 제 조 제 항 제 호 및 제 호 제 조 제 호에 의하면 금융회사는 사용자

13 1 1 4 , 32 2

계정과 비밀번호를 개인별로 부여하고 전자자료의 입력 출력 열람을 함에 있어 사용자의 · ·

업무별로 접근권한을 통제하고 비밀번호는 분기별 회 이상 변경하여야 하는데도 1

□□□ 개발 등을 위해 개발용 데이터베이스를 운영하면서 일부 테이블에 주민

등록번호 등 이용자 정보를 변환하지 아니한 상태로 운영 보관하였고 ·

개발용 데이터베이스에 접근하기 위한 사용자계정을 개 ◎◎◎◎ 만 운영하고 ◉

있어 개발자들이 동 계정을 공동으로 이용하고 있고 동 계정의 비밀번호를 주기적으로

( )

변경하지 않고 사용하고 있으며

- 1 -

접근통제시스템을 개발 서버 및 개발 데이터베이스에 적용하지 않는 등 사용자의 업무별 접근권한을 통제하지 않았음

<관련규정 >

「전자금융감독규정 제 조 제 조 」 13 , 32

나. 조치의뢰사항

(1) 정보처리시스템 보호대책 운영 불철저

① 해킹방지를 위한 취약점 분석 평가 업무 소홀

전자금융감독규정 제 조 제 항에 의하면 금융회사는 해킹 등 전자적 침해

舊 15 5

행위로 인한 사고에 대비하여 정보처리시스템 및 정보통신망에 대해서 매년 취약점을 분석 평가하고 그 이행계획을 수립 시행하여야 하는데도

· ·

□□□시스템에서 운영되는 ◇◇◇프로그램에 대해 취약점을 분석 평가를 실시 ·

하지 않아 ◇◇◇프로그램에서 해커가 원격에 설치한 파일을 다운로드 및 실행시킬 수 있는 취약점을 보완하지 아니하고 운영하였음

② 접근권한 통제 및 비밀번호 관리 소홀

전자금융감독규정 제 조 제 항 제 호에 의하면 금융회사는 전산자료의 유출

13 1 4 ․

파괴 등을 방지하기 위하여 접근권한을 사용자의 업무별로 통제하도록 하여야 하고 동 규정 제 조 제 호에 의하면 내부사용자 비밀번호는 분기별 회 이상 변경하고

32 2 1 ,

보관 시 암호화하여야 하는데도

□□□서버와 ◇◇◇서버에 우리금융그룹 계정관리 소프트웨어를 설치하지 않아

접근권한을 사용자의 업무별로 통제하지 않았고 ◯◯◯서버와 ◇◇◇서버의 경우 계정․비밀번호를 최초 도입 후 수정하지 않았으며

□□□서버에 타 서버의 계정 및 비밀번호를 평문으로 저장하는 등 정보처리시스템 보호

대책을 일부 미흡하게 운영하였음

<관련규정 >

「 전자금융감독규정 제 조 제 조 제 조 제 조

」 12 , 13 , 20 , 32

다. 개선사항

(1) ◇◇◇시스템 운영 불합리

직원 에 개인정보가 저장 보관되는 것을 방지하기 위하여 ◇◇◇솔루션을

PC ․

통해 개인정보 저장 보관 여부를 매일 점검하고 개인정보가 검출된 직원에 대해서는 ․

동 정보를 삭제토록 통지하고 있으나

우리카드가 보유한 전체가 일일 검색대상에 모두 포함되어 있는지 등에 대한 PC

정기적인 점검 절차가 없고 개인정보 검출내역에 대해 별도로 분석 및 보고하는 등의 ,

관리절차가 미흡하므로

향후 일부 가 개인정보 검색대상에서 장기간 누락되지 않도록 관리하고 검출 PC

내역에 대해 개인별 부서별로 주기적으로 분석하고 현황을 관리하는 등 개인정보 검색 ․

시스템 운영 방법 및 관리 절차를 개선하시기 바람

(2) □□□프로그램 운영 불합리

등에 의한 정보유출을 방지하기 위하여 □□□프로그램 ◯◯◯프로그램 및

USB ,

◇◇◇프로그램을 임직원 에 설치하여 보조기억매체 내 저장된 파일의 읽기 및

PC PC

쓰기 기능을 차단하는 등의 통제를 하고 있으나

동 프로그램들의 안전성을 점검한 결과 동 프로그램들의 통제 무력화가 확인 ,

되었으므로

향후 동 프로그램들의 기능 보완 또는 새로운 프로그램 도입 등의 정보시스템 보안기능 강화대책을 마련 운영하시기 바람 ·

(3) 재해복구센터 운영 불합리

주전산센터 재해 발생 시 업무 연속성이 확보되도록 주요 대고객 서비스 업무의 재해복구시스템을 구축⋅운영하고 있고 매분기 재해복구 모의훈련을 실시하였으나 ,

동 재해복구시스템의 통신망 및 통신장비를 □□□과 공동으로 사용함에 따라

우리카드 전산시스템 재해발생시 재해복구시스템 전환에 대한 신속한 의사결정이 어렵고 ,

재해복구시스템 기동시간도 단독 기동에 비해 오래 소요되어 대고객 서비스 복구가 지연될 수 있으며 □□□ 전산시스템 재해 발생 시 우리카드 재해복구시스템도 기동됨으로써 ,

예상치 못한 서비스 중단 등이 발생할 수 있고 전체 대외기관 개 중 개 기관 ◇◇◇ ◎◎◎ ◯◯◯ 만 재해복구센터와 전용

(◈ ) ◈ ( , , )

회선이 설치되어 있어 재해 발생으로 인한 재해복구센터 가동 시 일부 대외기관과 연계된 서비스가 중단될 우려가 있으므로

□□□과 독립적인 재해복구시스템 전환이 가능하도록 조속한 시일 내에 재해복구

시스템의 통신망 및 통신장비를 분리 구축할 필요가 있고 재해복구센터와 전체 대외기관 간에 전용회선을 조속히 설치하여 대고객 서비스

업무 연속성을 강화할 필요가 있으며 ,

향후에는 재해복구 모의훈련 시 현업 직원이 참여하여 가상거래 입력 등을 통해 재해복구시스템으로의 전환 여부를 검증함으로서 재해복구 모의훈련의 실효성을 제고할 필요가 있음