부산은행 검사결과제재 (2015-05-29)

재해복구센터 구축․운영 불철저

검사착수일 현재 ▣▣등 ○개 업무에 대해서는 재해복구시스템을 구축ㆍ운용중이나 ◈◈등 주요 업무는 재해복구 대상에 포함하지 아니하여 전산센터에 재해가 발생할 경우 동 업무에 대해 적절한 대응이 곤란하므로 재해복구대상을 재선정하는 등 업무지속성 확보 대책을 보완할 필요가 있음

이용자정보 보호대책 수립·운용 불철저

｢전자금융감독규정｣ 제13조 제1항 제10호에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 테스트 시 이용자 정보 사용을 금지하고 있으며 부하 테스트 등 이용자 정보 사용이 불가피한 경우 동 정보를 변환하여 사용하여야 하고 동 규정 제28조 제2항에 의하면 이용자 정보 등이 저장된 정보처리시스템에 대한 중요작업 수행시 책임자가 이중확인을 하여야 함

검사착수일 현재 테스트 시 ▣▣시스템의 이용자 정보(○건)를 변환하지 않고 사용하였으며 동 이용자 정보를 책임자의 이중확인 없이 담당직원이 운영 DB에 접속하여 이용자 정보를 테스트 DB에 이관하였으며, 2014.3.12.∼2014.8.4. 기간중 ◈◈부 직원은 ○회에 걸쳐 책임자의 이중확인 없이 운영 DB의 이용자 정보 변환(마스킹)을 해제하여 테스트를 하였음

계정 및 비밀번호 관리 불철저

｢전자금융감독규정｣ 제13조 제1항 제1호에 의하면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 사용자계정과 비밀번호는 개인별로 부여하여 등록·변경·폐기를 체계적으로 관리하고 제32조 제2호에 의하면 비밀번호는 이용자 식별부호(아이디), 생년월일, 주민등록번호, 전화번호를 포함하지 않은 숫자와 영문자 및 특수문자 등을 혼합하여 8자리이상 설정하고 분기별 1회 이상 변경하고 암호화하여 보관해야 하며, 비밀번호 입력 시 5회 이내의 범위에서 미리 정한 횟수 이상의 입력오류가 연속하여 발생한 경우 즉시 해당 비밀번호를 이용하는 접속을 차단하고 본인 확인절차를 거쳐 비밀번호를 재부여하거나 초기화 하여야 함

검사착수일 현재 퇴직자(○명) 및 외주인력(○명)의 사용자계정(○개)을 삭제하지 아니하고 동 미삭제 계정 중 ○개의 계정을 사용하였고 데이터베이스 ○대의 총 ○개 계정 중 분기별 1회 이상 비밀번호를 변경하지 않고 사용한 계정이 ○개, 비밀번호를 8자리 미만으로 설정하거나 비밀번호 입력 시 5회이상 입력오류가 연속으로 발생하여도 접속 차단이 되지 않는 계정이 ○개가 존재하는 등 비밀번호 관련 기준을 준수하지 않았으며, 정보처리시스템(○대)의 비밀번호(○개)는 이용자 식별부호(아이디)와 동일하거나 이용자 식별부호를 포함하여 운용하였음

개선사항 ⑴ 취약점 분석․평가 강화

매년 금융정보공유·분석센터(금융ISAC)을 통해 전자금융기반시설을 대상으로 취약점 분석·평가를 실시하여 발견된 취약점 등에 대하여 이행계획을 수립하여 개선조치 등을 실시하고 있으나,

동 취약점 분석 대상(전자금융기반시설)을 제외한 다른 정보처리시스템에도 동일한 취약점이 발견되는데도 취약점 제거 등의 조치를 취하지 않고 있으므로

전자금융기반시설에 대한 취약점 분석ㆍ평가 결과 발견된 취약점을 다른 정보처리시스템에서도 점검·조치하는 등 해킹공격 등에 적절하게 대응하도록 개선하시기 바람