아이비케이신용정보 주식회사 금감원 제재공시 · 2015-05-29

제재내용 공개안

1. 금융기관명 : 아이비케이신용정보㈜

2. 제재조치일 : 2015. 5. 29.

3. 제재조치내용

제재대상 제재내용

기 관 개선 5건

임 원

직 원 주의 1명

4. 제재대상사실

가. 주의사항

(1) 정보처리시스템 보호대책 운영 불철저

전자금융감독규정 제13조 제1항 제4호 및 제15조 제1항 제2호에 의하면 금융 회사는 전산자료의 유출, 파괴 등을 방지하고 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위해 사용자의 업무별로 접근권한을 통제하고 시스템 프로그램 등의 긴급하고 중요한 보정사항에 대하여 즉시 보정하여야 하는데도

□□□시스템의 사용자인증 절차를 거치지 않고도 동 시스템 접속이 가능한

취약점을 제거하지 아니하여 접근권한이 없는 사용자가 시스템에 접속할 수 있었고 사용자 단말기에서 □□□시스템 및 ◇◇◇시스템에 접속하기 위해 필요한 자바 프로그램을 도입⋅운용하면서 동 프로그램 제조업체가 배포한 중요 업데이트 사항을 보정하지 아니하는 등 정보처리시스템 보호대책을 일부 미흡하게 운영하였음 < 관련규정 >

1. 「전자금융거래법」제21조

2. 「전자금융감독규정」제13조 제1항 제4호

3. 「전자금융감독규정」제15조 제1항 제2호

나. 개선사항

(1) 전산자료 보호대책 개선

내부 사용자가 □□□시스템 및 ◇◇◇시스템에 접속하기 위해 입력한 계정 및 비밀번호를 네트워크 망에 평문으로 전송하고 있어 네트워크 망 감청 시 동 정보가 노출될 수 있는 취약점이 있으므로,

앞으로 내부 사용자가 내부 업무용시스템 접속 시 암호화된 프로토콜을 사용하는 등 계정 및 비밀번호 전송방법을 개선하시기 바람

(2) 개인정보 보호대책 개선

□□□솔루션을 통해 매월 임직원 PC의 개인정보 보유 여부를 점검하여 삭제

하고 있으나, 보유중인 PC 전체가 모두 점검되었는지에 대한 검증 절차 및 검출된 개인 정보에 대한 지점․부서별 조치결과 보고 절차가 마련되어 있지 않으므로 앞으로 일부 PC가 개인정보 보유여부 검색대상에서 장기간 누락되지 않도록 검증절차를 마련하고, 개인별․부서별 검출결과 및 사후조치 현황을 관리하는 등 개인 정보 검색시스템 운영 방법 및 관리절차를 개선하시기 바람

(3) □□□프로그램 취약점 개선

보조기억매체(USB) 등에 의한 정보유출을 방지하기 위해 임직원PC에 □□□ 프로그램을 설치․운용하고 있으나

동 프로그램의 안전성을 점검한 결과, 동 프로그램 통제기능의 무력화가 확인 되었으므로 □□□프로그램 보완 등 관련 기능을 개선하시기 바람

(4) 전산장애 및 재해 대응 절차 개선

아이비케이신용정보(주) 는 재해복구센터를 구축․운영하지 않고 있어, 전산장애

*

및 재해발생시 업무중단의 우려가 있으므로

*「전자금융감독규정」제23조 제8항에서 정한 재해복구센터구축대상 금융회사(은행, 보험

회사 등)에 해당되지 않음

신속한 전산시스템 복구 등을 위해 OS 디스크 백업복구, 시스템 대체작동 등 다양한 복구훈련 방안을 마련하고 훈련 주기, 대상 등을 선정하는 등 업무연속성 확보 방안을 개선하시기 바람

(5) IT 업무 직무분리 개선

인프라운영 담당자가 □□□ 등 ◇◇◇ 업무를 겸무하고 있어 직무 겸임에 IT

따른 통제 소홀 및 IT업무에 대한 보안통제가 미흡할 수 있으므로 인프라 운영담당 직원과 ◇◇◇ 직원간 상호견제가 가능하도록 직무를 분리하여 운영하는 등 관련 업무를 개선하시기 바람