㈜카카오페이 금감원 제재공시 · 2021-05-03

제재내용 공개안

1. 금융기관명 : ㈜카카오페이

2. 제재조치일 : 2021. 5. 3.

3. 제재조치 내용

대상 내용

기관 과태료 부과 만원 (6,960 )

임원 주의 명 2

직원 주의 명 1

4. 제재대상사실

가. 전자금융거래 안전성 확보의무 위반

(1) 클라우드컴퓨팅서비스 이용절차 등 수행 위반

전자금융거래법 제 조제 항 전자금융감독규정 제 조 및 제 조의 제 항부터 제 항

21 2 , 7 14 2 1 3 ,

舊 전자금융감독규정 제 조의 제 항부터 제 항에 의하면 전자금융업자는 비중요 정보

( ) 14 2 1 3

처리시스템 지정 또는 클라우드컴퓨팅서비스 이하 클라우드 를 이용하고자 하는 경우에 ( ‘ ’)

<비중요 정보처리시스템 지정절차 또는 클라우드 이용절차 를 수행하여야 하는데도 > < > ,

회사는 ～ 기간 중

OOOO.O.O. 시스템을 의

OOOO.O.O.클라우드 OOOO OOO OOOO

환경에서 사용하고 있었음에도 비중요 정보처리시스템 지정절차 또는 클라우드 이용< > <

절차 를 수행하지 않은 사실이 있음

>

< 관련규정 >

1. 전자금융거래법 제 조제 항 21 2

2. 전자금융감독규정 제 조 제 조의 제 항 제 항 제 항 및 제 항 7 , 14 2 1 , 2 , 3 9

3. ( 舊 전자금융감독규정 제 조의 제 항 제 항 및 제 항

) 14 2 1 , 2 3

(2) 내부 업무용시스템, 정보처리시스템 등의 망분리 이행 위반

전자금융거래법 제 조 제 항 전자금융감독규정 제 조 및 제 조제 항제 호에 의하면

21 2 , 7 15 1 3

전자금융업자는 내부통신망과 연결된 내부업무시스템을 인터넷 무선통신망 포함 등 외부 ( )

통신망과 분리 차단 및 접속을 금지하여야 하고 ,

전자금융감독규정 제 조제 항제 호에 의하면 회사의 전산실 내에 위치한 정보처리시스템과

15 1 5

해당 정보처리시스템의 운영 개발 보안 목적으로 직접 접속하는 단말기에 대해서는

, ,

인터넷 등 외부통신망으로부터 물리적으로 분리하여야 하며 ,

클라우드 제공자의 전산실 내에 위치한 정보처리시스템에 운영 개발 보안 목적으로 직접 , ,

접속하는 단말기에 대해서도 인터넷 등 외부통신망으로부터 물리적으로 분리하여야

하는데도 ,

① 회사는 ～

OOOO.O.O.기간 중 내부통신망에 연결된 본사 임직원의 업무 OOOO.O.O.

단말기와 내부 업무용시스템에 대해 망분리 이행을 완료하지 않고 인터넷 등 외부통신망과 연결하여 운영하는 등 외부통신망과 분리·차단 및 접속을 금지하지 않았고

② 회사 전산실 내에 위치한 일부 정보처리시스템 · · 등의 업무처리 및 (OO OO OO OO

OOOOO OO서버 에 대해서 인터넷

) 등의 이미지 · (OO, OO, OOO, OOO CDN, OO OO

OOOOO등 홈페이지 등 외부통신망과 물리적으로 분리하지 않았으며 )

회사 전산실의 정보처리시스템 에 개발 목적으로 직접 접속하는 단말기에

(OOOOOOOO)

대해서 인터넷 등 외부통신망과 물리적으로 분리하지 않고 연결하여 운영하였으며 클라우드 제공자 의 정보처리시스템

(OOO) · · 설정 관리콘솔 에 운영 개발 (OO, OO OO OO ) , ,

보안 목적으로 직접 접속하는 회사의 단말기에 대해서도 인터넷 등 외부통신망으로부터 물리적으로 분리하지 않고 연결하여 운영한 사실이 있음

< 관련규정 >

1. 전자금융거래법 제 조제 항 21 2

2. 전자금융감독규정 제 조 제 조의 제 항 제 조제 항 제 호 제 호

7 , 14 2 8 , 15 1 3 , 5

(3) 홈페이지 등 공개용 웹서버 관리 대책 이행 위반

전자금융거래법 제 조 제 항 전자금융감독규정 제 조 및 제 조제 항제 호 제 호

21 2 , 7 17 1 1 , 3 ,

제 호에 의하면 전자금융업자는 공개용 웹서버의 안전한 관리를 위하여 공개용 웹서버를 4

내부통신망과 분리하여 내부통신망과 외부통신망사이의 독립된 통신망 이하 ( “DMZ

구간 에 설치하고 네트워크 및 웹 접근제어 수단으로 보호하여야 하고

”) ,

공개용 웹서버에서 제공하는 서비스를 제외한 다른 서비스 및 시험 개발 도구 등의 사용을

제한하여야 하며 구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니

, DMZ

하여야 하는데도 다만 거래로그를 관리하기 위한 경우에는 예외로 하되 이 경우 반드시

( ,

암호화하여 저장 관리하여야 함 )

① ～

OOOO.O.O. 기간 중 클라우드의 공개용 웹서버

OOOO.O.O. , OOO (OOOO

OOO홈페이지 를 내부통신망과 분리하여 내부통신망과 외부통신망 사이의 독립된 통신망 )

구간 에 설치하지 아니하고 내부통신망에 설치하면서 웹 접근제어 수단 침입탐지

(DMZ ) (

시스템의 웹접근제어 규칙 등 으로 보호하지 않았고 )

② 회사 전산실 및 클라우드의 공개용 웹서버 홈페이지 공개용 (OO, OOOO, OOOO

웹서버 등 에서 시험·개발도구

) 등 의 사용을 제한하지 않고 운영하였으며 (gcc, g++, make )

③ DMZ 구간 내의 공개용 웹서버 · 홈페이지 의 거래로그에 이용자 (OO OOOO ) OOOO

및 OOOOOO 를 저장하여 관리하면서 암호화하지 않은 사실이 있음

< 관련규정 >

1. 전자금융거래법 제 조제 항 21 2

2. 전자금융감독규정 제 조 제 조제 항제 호 제 호 제 호 7 , 17 1 1 , 3 , 4

(4) 프로그램 및 전산원장 관리통제 위반

전자금융거래법 제 조제 항 및 전자금융감독규정 제 조 제 조제 항 제 항 제 조

21 2 7 , 27 1 , 2 , 28

제 항 제 조제 호 제 조제 호에 의하면 전자금융업자는 장애 또는 오류 등에 의한

2 , 29 7 , 30 5

전산원장의 변경을 위하여 변경내용의 정당여부에 대해 제 자 확인 등을 포함한 별도의 3

변경절차를 수립·운용하여야 하고 전산원장 주요정보 또는 이용자 정보 등이 저장된 ,

정보처리시스템에 대한 중요작업 수행 시 책임자가 이중확인을 하여야 하며 ,

일괄작업 의 수행을 위하여 책임자가 일괄작업 수행자의 주요업무 관련 행위를

(batch)

모니터링하여야 하고 프로그램 반출 실행프로그램의 생성 및 운영시스템 등록을 전산 ,

자료 관리자 등 해당프로그램 담당자 이외의 자가 수행하여야 하는데도

① ～

OOOO.O.O. 기간 중 전산원장 변경내용의 정당여부에 대해 내부감사 등

OOOO.O.O.

제 자의 승인없이 책임자의 승인만을 통해 변경을 실시하였고 전산원장의 중요작업에

3 ,

대한 책임자의 이중확인 및 일괄작업 수행자의 주요업무 관련 행위에 대한 책임자의

모니터링을 수행하지 않았으며 ,

② ～

OOOO.O.O. 기간 중 프로그램 반출 및 운영시스템 등록을 해당 프로

OOOO.O.O.

그램 담당 개발자가 직접 배포한 사실이 있음

< 관련규정 >

1. 전자금융거래법 제 조제 항 21 2

2. 전자금융감독규정 제 조 제 조제 항 제 항 제 조제 항 제 조

7 , 27 1 , 2 , 28 2 , 29

제 호 제 조제 호 7 , 30 5

나. 전자금융거래 변경약관 게시 및 이용자 통지 위반

전자금융거래법 제 조제 항 및 전자금융감독규정 제 조제 항에 의하면 금융회사

24 3 40 4

또는 전자금융업자는 약관을 변경하는 때에는 그 시행일 월전에 해당 전자금융거래를 1

수행하는 전자적 장치에 게시하고 이용자에게 통지하여야 하는데도 ,

회사는 OOOO.O.O. ‘OOOOO 이용약관 이하 약관 을 제정한 이후 현재까지 총 차례

’( ‘ ’) O

약관을 변경하면서 ,

변경된 약관을 전자적 장치에 지연 게시 회 하거나 통지기한 내에 이용자에게 통지하지

(O ) ,

아니한 회 사실이 있음

(O )

< 관련규정 >

1. 전자금융거래법 제 조제 항 24 3

2. 전자금융감독규정 제 조제 항 40 4

다. 전자금융거래 약관 보고 위반

전자금융거래법 제 조제 항 및 전자금융감독규정 제 조제 항에 의하면 금융회사

25 1 41 2

또는 전자금융업자가 전자금융거래에 관한 약관을 제정하거나 변경하고자 하는 경우에는

미리 금융위원회에 보고하여야 하는데도 ,

회사는 OOOO.O.O. ‘OOOOO 이용약관 이하 약관 을 제정한 이후 현재까지 총 차례

’( ‘ ’) O

약관을 변경하면서

제정 약관은 시행일 (OOOO.O.O.)로부터 일 후에 지연하여 보고

O (OOOO.O.O.) 하였고 ,

약관개정시행일이 OOOO.O.O. 등 약관 건 은 보고하지 않은 사실이 있음

(O )

< 관련규정 >

1. 전자금융거래법 제 조제 항 25 1

2. 전자금융감독규정 제 조제 항 41 2