옐로페이 금감원 제재공시 · 2015-02-24

제재내용 공개안

1. 금융기관명 : ㈜옐로페이

2. 제재조치일 : 2015. 2. 24.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 개선 3건

직 원 | 주의 1명

[/표]

4. 제재대상사실

가. 주의사항

(1) 내부사용자 및 이용자 비밀번호 관리 불철저

｢전자금융감독규정｣ 제32조 제2호, 제3호 및 제33조 제2항 제1호에 의하면 전자금융업자는 내부사용자의 비밀번호 유출을 방지하기 위하여 비밀번호 등록시 숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정, 분기 1회 이상 변경, 5회이내의 범위에서 입력오류 시 접속차단토록 설정하여야 하며, 이용자 비밀번호 유출을 방지하기 위하여 주민등록번호, 동일숫자, 연속숫자 등 쉽게 유추할 수 있는 비밀번호의 등록이 불가하도록 설정하여야 하는데도,

㈜옐로페이는 검사착수일(20XX.XX.XX.) 현재 내부사용자 및 이용자의 비밀번호 관리를 다음과 같이 소홀히 하였음

◦ 운영계 서버 총 ◌◌대 중 △△대의 서버에서 내부사용자의 비밀번호 등록 시 숫자, 영문자 및 특수문자의 조합이 아닌 8자리 이상으로만 설정·운영

◦ 데이터베이스의 내부사용자 접속 비밀번호 등록 시 분기 1회 이상 변경 및 5회 이내의 범위에서 입력오류 시 접속차단 미설정

◦ □□□□ 및 ▽▽▽▽▽시스템의 조작자 비밀번호 등록 시 숫자, 영문자 및 특수문자의 조합이 아닌 대문자 또는 특수문자 ☆자리 이상이 포함된 8자리 이상으로만 설정·운영

◦ ◍◍◍◍의 이용자 비밀번호* 등록 시 주민번호, 동일숫자 및 연속숫자를 포함한 비밀번호의 등록 불가 미설정

* 대문자 및 특수문자를 ☆자이상 포함한 8자리 이상으로만 강제하고 있어 쉽게 유추할 수 있는 비밀번호 등록 가능

나. 개선사항

(1) 내부정보 유출방지대책 강화

내부 업무망은 인터넷망과 분리·운영을 원칙으로 하고 있으나, 회사메일로 지정한 외부메일서비스(◌◌◌◌◌)를 이용하기 위해서 내부망 단말기에 예외적으로 인터넷 접속을 허용하고 있고, 마우스 및 키보드가 USB장치로 접속되는 경우 OS상의 기능 미흡으로 USB의 접속차단을 하지 못하고 있으며, 악성코드 감염방지를 위하여 설치·운영 중인 백신프로그램(▨▨▨제품)의 사용자 임의삭제가 가능하여,

내부망 단말기에서 외부메일서비스의 사용, USB 접속 미차단 및 백신프로그램 임의삭제를 통해 내부정보(개인정보 포함)의 유출이 우려되고, 악성코드 감염을 통한 장애발생 가능성이 있으므로,

앞으로 내부정보 유출방지를 위하여 내부망의 외부메일서비스 접속을 차단하고, USB 사용통제 및 백신 등 필수 보안프로그램 삭제통제 등을 위해 PC 통합보안솔루션을 도입․운영하는 등 보안대책을 강화하시기 바람

(2) 네트워크 보안대책 강화

인터넷을 통한 □□□□ 웹서버에 접속 시 2차 방화벽 내부까지 ◌◌◌◌에 의한 직접 접근이 허용됨으로써 외부에서의 내부망 내 전산장비에 대한 해킹 가능성이 있으므로,

앞으로 □□□□ 웹서버도 홈페이지 웹서버와 같이 중립구간 내에 배치함과 아울러 인터넷망에서 내부망으로의 ◌◌◌◌를 통한 직접 접근을 차단하는 등 네트워크 보안대책을 강화하시기 바람

(3) 데이터베이스 보안대책 강화

데이터베이스에 대한 관리자 접속 시 접속일시, 접속자 및 IP 등 접속 내역에 대해서는 로그(Log)를 남기고 있으나, 구조적질의어(SQL)를 통한 데이터의 조회, 변경, 삭제 등의 작업내용(SQL사용내역)에 대해서는 로그를 기록하지 않고 있어,

동 작업내용에 대한 로그 부재로 데이터 무단 변경 등에 의한 사고 발생 시 사고 원인규명 및 데이터 변경의 적정성에 대한 효율적인 검증기능 수행이 곤란하므로,

앞으로 데이터베이스에서 관리자의 SQL 사용내역에 대한 로그를 남길 수 있도록 시스템 설정을 변경·적용하는 등 데이터베이스 보안대책을 강화하시기 바람