효성캐피탈주식회사 검사결과제재 (2016-04-22)

내부정보 유출방지대책 불합리 내부자료 보안을 위해 직원의 단말기에 문서암호화시스템 및 자료유출방지 솔루션 등을 설치하여 문서 암호화 및 USB 쓰기 통제 등을 운영하고 있으나 문서암호화시스템의 자체 승인권자가 암호화 해제를 승인한 경우 동 승인내역을 별도로 점검하지 않고 있으며 암호화 해제 문서의 재암호화 절차를 마련하지 않아 암호화 해제된 내부 자료 등이 외부로 유출될 위험이 있고 USB 쓰기권한 부여시 허용기간에 대한 통제기준을 마련하지 않아 허용기간을 필요 이상으로 과도하게 부여하여 USB 등 저장매체를 통한 정보유출 우려가 있으므로, 자체 승인권자의 암호화 문서 해제 승인 내역의 적정성을 검증 및 암호화 해제 문서의 재암호화 절차를 마련하고 USB 쓰기 허용기간을 설정하는 등 자료유출통제 절차 개선 필요

백업 및 소산정책 불합리 주요 업무에 대한 백업정책을 수립하여 주기적으로 백업 및 소산을 실시하고 있으나 백업된 전산자료를 이용한 복구테스트 등 실효성 검증을 실시하지 않고 있어 재해상황 발생시 복구에 필요한 전산자료가 유실되거나 적시에 복구가 이루어지지 않을 우려가 있으므로 백업 전산자료를 이용하여 정기적으로 복구 테스트를 실시하는 등 백업 전산 자료의 실효성 검증 절차를 마련하여 재해발생시 적시에 복구가 이루어질 수 있도록 백업 및 소산 정책을 개선필요

IT관련 내규 관리 불합리 IT관련 업무에 대한 규정, 지침, 매뉴얼을 각각 제정하여 운영하고 있고 OOO을 통해 임직원이 쉽게 공유할 수 있도록 관리하고 있으나 규정 및 지침의 경우 전산운영 변경사항 및 전자금융감독규정 등 관련 법규의 최신 개정내용 등이 반영되어 있지 않아 관련 법규 등을 준수하지 못하고 매뉴얼의 경우 제·개정 현황 등을 관리하고 있지 않아 업무 혼선이 발생할 우려가 있으므로, 전산운영 변경사항 및 관련 법규 개정사항 등이 최신상태로 반영될 수 있도록 제·개정 현황 관리 절차를 개선 필요

고객정보 접근통제 불합리 현업 직원이 OOO에서 고객정보를 대량으로 조회시 OOO에 마스킹을 적용 하는 등 고객정보에 대한 접근을 통제하고 있으나 OOO의 경우 암호화 등 별도의 통제 없이 OOO를 통해 고객정보를 대량으로 조회할 수 있어 대량 정보 유출의 우려가 있으므로 앞으로 OOO를 통한 고객정보 조회시 암호화 등 통제절차를 거치도록 하는 등 고객정보 접근통제 관련절차 개선 필요

비밀번호 등 암호화 불합리 OOO시스템의 OOO에 대한 비밀번호 암호화를 보안강도가 미약한 암호화 알고리즘(OOO)을 적용하고 있어 해킹 등에 의한 비밀번호 노출 가능성이 있으므로 이용자 비밀번호 등을 보안성이 높은 암호화 알고리즘으로 암호화하는 등 암호화 방식 개선 필요