(주)케이알파트너스 검사결과제재 (2016-03-03)

통신망 보안대책 불합리 ◦내부망 내 서버, PC 및 통신장비 등의 전산장비에 대하여 사설 인터넷주소(IP)를 부여·운영하여 보안대책을 마련하고 있으나, 중립구간(DMZ) 내 전산장비에 대하여는 공인 인터넷주소를 부여·사용하고 있어 중립구간 내 전산장비의 공인 인터넷주소 외부 노출로 동 전산장비에 대한 직접적인 해킹공격 가능성이 있으므로 중립구간(DMZ) 내 공인 인터넷주소(IP)를 부여·운영하고 있는 전산장비에 대하여 사설 인터넷주소(IP)를 부여·사용하도록 통신망 보안대책을 개선

비밀번호 암호화 대책 불합리 ◦가맹점 및 내부직원 사용자계정의 비밀번호를 보안 강도가 미약한 암호화 알고리즘(OOO)에 의해 암호화하여 보관하고 있어 외부 해킹 등에 의한 비밀번호의 노출 가능성이 있으므로 미래창조과학부에서 권고하는 보안 강도를 가지는 암호화 알고리즘(SHA2 등)에 의해 사용자계정 비밀번호를 암호화하는 등 비밀번호 암호화대책을 개선

홈페이지 보안대책 불합리 ◦가맹점에서 거래내역 등을 조회할 수 있도록 서비스를 제공하고 있는 홈페이지(www.OOO.com)에서 키보드 입력데이터 보호 및 악성코드 감염방지 등 홈페이지 이용자 PC용 보안솔루션의 설치기능을 제공하지 않아 가맹점 등록정보 및 거래내역 등이 해킹 등에 의해 노출될 가능성이 있으므로 홈페이지 이용자 PC에 키보드 입력데이터 보호 및 바이러스 검출·치료 등을 위한 보안솔루션의 설치기능을 제공하고 홈페이지 접속 시 동 보안솔루션의 무결성을 검증하는 등 홈페이지 보안대책을 개선

정보처리시스템 보안대책 불합리 ◦회사 내부에서 직원만 이용하는 개발서버 및 가맹점 관리 웹서버를 외부 전산센터 내 중립구간(DMZ)에 설치·운영하고 있고 내부 직원이 가맹점 관리 업무수행 시 외부 인터넷망을 경유하여 가맹점 관리 웹서버(DMZ 소재)로 접속하여 업무를 처리하고 있어 외부의 해킹에 취약하므로 개발서버 및 가맹점 관리 웹서버는 내부망으로 이전토록 하고, 동 서버에 대하여 외부 인터넷망을 통한 접속을 차단하는 등 정보처리시스템 보안대책을 개선 ◦메일 및 전자결재 등 그룹웨어로 사용하는 외부 상용서비스(OOO)를 회사 내부에서만 이용함에도 외부 인터넷망을 통한 접근을 허용하고 있어 외부의 해킹 등을 통한 내부정보 유출가능성이 있으므로 그룹웨어에 대한 접근은 회사에서 사용하는 인터넷주소(IP)로 제한하여 외부 인터넷망을 통한 불특정 접근을 차단하는 등 정보처리시스템 보안대책을 개선

이용자 개인정보 관리 대책 불합리 ◦결제에 이용된 신용카드번호는 개인정보 보호를 위해 데이터베이스(DB)에 암호화하여 저장하고 있으나 OOO 계좌번호는 평문으로 저장하고 있어 외부 해킹 등으로 OOO 계좌번호 유출 시 금융사기 등에 악용될 가능성이 있으므로 평문으로 저장되어 있는 OOO 계좌번호를 미래창조과학부가 권고하는 안전한 알고리즘에 의해 암호화하여 보관하는 등 이용자 개인정보 관리 대책 개선 ◦당초 간편결제 서비스 제공을 목적으로 개인정보(이름, 이메일 및 전화번호 등)를 수집·보관하고 있으나, 동 서비스 제공 계획이 취소되었음에도 동 개인정보를 삭제하지 않고 있어 관리 소홀로 인한 개인정보 유출 가능성이 있으므로 개인정보 유출을 방지하기 위해 간편결제 서비스 제공계획이 취소되어 보유가 불필요한 개인정보는 파기하는 등 이용자 개인정보 관리 대책 개선