수협은행 금감원 제재공시 · 2019-11-26

제재내용 공개안

1. 금융회사명 : 수협은행

2. 제재조치일 : 2019. 11. 26.

3. 제재조치내용

제재대상 제재내용

기 관 과태료 만원 3,000

직 원 자율처리필요사항

4. 제재대상사실

가. 문책 및 자율처리필요사항

(1) 전자금융거래의 안전성 확보의무 위반

1) 공개용 웹서버 관리대책 불철저

금융회사는 공개용 웹서버의 안전한 관리를 위하여 내부통신망과 외부통

신망 사이의 독립된 통신망 이하 구간 내에 이용자정보 등 주요 정보를

( “DMZ ”)

저장 및 관리하지 아니하여야 하고 거래로그를 관리하기 위한 예외적인 경우에 ,

는 암호화하여 저장 관리하여야 하는데도 ,

수협은행은 검사착수일 현재 구간에서 운영하는 ◇◇◇ 서버 ○대

DMZ ( ),

◆◆◆ 서버 ○대 의 로그파일에 총 ○건의 이용자정보를 암호화하지 않고 평문

( )

으로 저장한 사실이 있음

2) 전산원장 통제절차 불철저

금융회사는 장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전 후내용 자동기록 및 보존 변경내용의 정당여부에 대한 제 자 확인 등이 포함된

, 3

전산원장 변경절차를 수립 운용하여야 하는데도 · ,

수협은행은 영업점 등에서 요청하는 데이터 수정사항을 처리하기 위해 업 무처리시스템 내 전산원장 변경 통제 없이 전산원장 변경이 가능한 ○개 화면을 구현하여

검사대상 기간 중 총 ○명의 직원이 ○개 화면을 통해 총 ○건에 걸쳐 전 산원장을 변경하면서 변경 전후 내용의 자동기록 및 보존을 수행하지 않았고 변 경내용의 정당여부에 대한 제 자 확인도 수행하지 아니한 사실이 있음 3

3) 내부사용자 비밀번호 관리 불철저

금융회사는 내부사용자의 비밀번호 유출을 방지하기 위하여 비밀번호를 암호화하여 보관하여야 하며 동 비밀번호는 숫자와 영문자 및 특수문자 등을 ,

혼합하여 자리 이상으로 설정하고 분기별 회 이상 변경하여야 하는데도

8 1

수협은행은 검사착수일 현재 아래와 같이 내부사용자 비밀번호 관리를 소 홀히 한 사실이 있음

◎◎◎ 접속을 위한 비밀번호를 데이터베이스 에 저장 보관하면서

① (DB) ·

암호화하지 않고 평문으로 보관 사용하였고 정보처리시스템 ○대 의 데이터베이

· , ( )

스 접속을 위한 내부사용자 비밀번호를 환경설정 파일 ○개 에 암호화하지

(DB) ( )

않고 평문으로 보관 사용하였음 ·

⊗⊗⊗ 시스템 등 정보처리시스템 ○대 의 데이터베이스 접속을

② ( ) (DB)

위한 내부사용자 비밀번호는 구축시점 이후부터 검사착수일 현재까지 분기별 1

회 이상 변경하지 아니하였음

③시스템 ○대 의 내부사용자 비밀번호는 숫자 영문자 및 특수문

 ( ) ,

자 등을 혼합하지 아니하거나 자리 이상으로 설정하지 아니하였음8

< 관계 법규 >

- 전자금융거래법 제 조제 항 21 2

- 전자금융감독규정 제 조 제 조 제 조 17 , 27 , 32