효성캐피탈주식회사 금감원 제재공시 · 2018-05-04

제재내용 공개안

1. 금융기관명 : 효성캐피탈(주)

2. 제재조치일 : 2018. 5. 4.

3. 제재조치 내용

제재대상 제재내용

기 관 기관주의 과태료 만원 , (3,000 )

임 원 주의 명 1

직 원 견책 명 1

4.제재대상사실

가. 문책사항

(1) 전산자료 보호대책 불철저

가) 정보처리시스템 가동기록 보존 부적정

(

전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 항제 호 및

21 2 , 7 , 13 1 11

제 항에 의하면 금융회사는 전산자료의 유출 파괴 등을 방지하기 위하여 정보처리

4 ,

시스템에 접속한 일시 접속자 및 전산자료의 처리내용을 확인할 수 있는 접속기록을 ,

접속의 성공 여부와 상관없이 자동적으로 기록 유지 및 년 이상 보존하여야 하는데도 · 1

효성캐피탈 주 은 침입차단시스템 메인 방화벽 대의 로그인 접속기록을 개월 동안만

( ) ( ) O 1

보존하고 있었으며 침입차단시스템의 처리내용을 확인할 수 있는 접속기록을 ,

부터

OOOO.O.OO. 까지 보존하지 않았음

OOOO.O.OO.

(나 ) 정보처리시스템의 운영체제 계정 로그인 시 추가인증 불철저

전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 호에 의하면

21 2 , 7 , 14 9

금융회사는 정보처리시스템의 운영체제 계정으로 로그인할 경우 계정 및 비밀번호 이외에 별도의 추가인증 절차를 의무적으로 시행하여야 하는데도 - 1 -

효성캐피탈 주 은 정보처리시스템에 운영체제 계정으로 로그인할 경우 관리자 단말기

( )

에서만 접속 가능하도록 통제하고 있으나 운영서버 대 등 정보처리시스템에 대하여 OO

계정 및 비밀번호 이외에 별도의 추가인증 절차를 시행하지 않았음 ( 다) 정보처리시스템 관리자 비밀번호 관리 불철저 전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 호에 의하면

21 2 , 7 , 32 2

금융회사는 내부사용자의 비밀번호 유출을 방지하기 위하여 비밀번호는 이용자 식별 부호 아이디 생년월일 주민등록번호 전화번호를 포함하지 않은 숫자와 영문자

( ), , ,

및 특수문자 등을 혼합하여 자리 이상으로 설정하고 시스템마다 관리자 비밀번호를

8 ,

다르게 부여하여야 하는데도

효성캐피탈 주 은 대 정보처리시스템의 관리자 비밀번호에 대해 아이디 를

( ) O (root)

포함하여 설정하였고 일부 정보처리시스템에 대해서는 동일한 관리자 비밀번호를 ,

설정하였음

< 관련규정 >

1. 전자금융거래법 제 조제 항 21 2

2. 전자금융감독규정 제 조 제 조제 항제 호 및 7 , 13 1 11

제 항 제 조제 호 제 조제 호

4 , 14 9 , 32 2

(2) 해킹 등 방지대책 불철저

( 가) 악성코드 감염 방지대책 불철저

전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 항제 호에 의하면

21 2 , 7 , 16 1 2

금융회사는 악성코드 감염을 방지하기 위하여 악성코드 검색 및 치료프로그램을 최신상태로 유지하여야 하는데도

효성캐피탈 주 은 전체 대 단말기 중 대 단말기에 대해서 악성코드 치료

( ) OOO OO

프로그램을 설치하지 않는 등 치료프로그램을 최신상태로 유지하지 않았음 (나 ) 긴급 보정작업 (patch) 미실시

전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 항제 호에 의하면

21 2 , 7 , 15 1 2

해킹 등 전자적 침해행위에 대비한 시스템 프로그램 등의 긴급하고 중요한 보정 사항에 대하여 즉시 보정작업을 실시하여야 하는데도 (patch)

효성캐피탈 주 은 워너크립터

( ) 랜섬웨어와 관련하여 효성캐피탈 (WannaCryptor)

OOOO서버 대 서버 대에 대해 긴급 보정작업을 즉시 실시하지 아니하였음

O , OO O

다) 침입차단시스템 운영 불철저

(

전자금융거래법 제 조제 항 전자금융감독규정 제 조 제 조제 항제 호 제 조

21 2 , 7 , 15 1 3 , 15

제 항제 호 및 제 호에 의하면 금융회사는 정보처리시스템 및 정보통신망을 해킹

2 2 3

등 전자적 침해행위로부터 방지하기 위하여 내부통신망과 연결된 내부 업무용시스템은 인터넷 등 외부통신망과 분리 차단 및 접속을 금지하고 정보보호시스템을 설치 운영

· ·

하는 경우 업무목적 이외의 기능을 제거하며 보안정책의 승인 적용 등에 대한 이력을 ·

기록 보관하여야 하는데도

·

효성캐피탈 주 은 침입차단시스템에서 내부통신망에 연결된 내부 업무용시스템 대

( ) O ,

미사용 내부통신망 개를 인터넷 등 외부 통신망과 접속을 차단하지 않고 이와

(IP) O ,

관련된 침입차단시스템의 보안정책 승인 이력 등을 기록 보관하지 않았음 ·

< 관련규정 >

1. 전자금융거래법 제 조 제 항 21 2

2. 전자금융감독규정 제 조 제 조제 항제 호 및 제 호

7 , 15 1 2 3 ,

제 항제 호 및 제 호 제 조제 항제 호

2 2 3 , 16 1 2