오릭스캐피탈코리아 금감원 제재공시 · 2015-02-24

제재내용 공개안

1. 금융기관명 : 오릭스캐피탈코리아㈜

2. 제재조치일 : 2015. 2. 24.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

직 원 | 주의 1명

[/표]

4. 제재대상사실

가. 주의사항

(1) 침입차단시스템 운용 관리 불철저

｢전자금융감독규정｣ 제15조 제2항 제4호에 의하면 금융회사는 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위해 정보보호시스템을 설치·운영하는 경우에는 정보보호시스템의 원격관리를 금지하고 주기적으로 작동상태를 점검하여야 하는데도,

◦ 오릭스캐피탈코리아㈜는 20XX.XX.XX. 외부업체(㈜◯◯◯)와 침입차단시스템(◎◎◎◎◎)에 대한 유지보수 계약을 체결하고, 외부 원격접속으로 동 시스템에 관한 정책의 추가, 변경 및 삭제 등 관리*업무를 수행하도록 하였으며,

* 매년 계약 갱신을 통해 침입차단시스템의 유지보수 및 기술지원을 받고 있으며, 보안정책 추가, 변경 및 삭제 시 이메일을 통해 업체에 의뢰

◦ 침입차단시스템에 적용된 보안정책의 적정성에 대한 정기적인 점검도 실시하지 않았음

(2) 공개용 웹서버 관리 불철저

｢전자금융감독규정｣ 제17조 제1항 제1호 및 제4호에 의하면 금융회사는 공개용 웹서버를 내부통신망과 분리하여 내부통신망과 외부통신망 사이의 독립된 통신망(DMZ구간)에 설치하고 네트워크 및 웹 접근제어 수단으로 보호하여야 하고, DMZ구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 않아야* 하는데도,

* 단, 거래로그를 관리하기 위한 경우에는 예외로 하되 이 경우 반드시 암호화하여 저장·관리하여야 함

◦ 오릭스캐피탈코리아㈜는 검사착수일 현재 공개용 웹서버(◆◆◆◆◆◆◆◆)를 독립된 통신망(DMZ구간)에 설치하지 않고 내부통신망에 설치·운영하고 있으며,

◦ 동 웹서버의 거래로그에 고유식별정보(주민등록번호)를 암호화 하지 않고 평문으로 저장하였음