아이비케이신용정보 주식회사 검사결과제재 (2015-05-29)

정보처리시스템 보호대책 운영 불철저

전자금융감독규정 제13조 제1항 제4호 및 제15조 제1항 제2호에 의하면 금융 회사는 전산자료의 유출, 파괴 등을 방지하고 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위해 사용자의 업무별로 접근권한을 통제하고 시스템 프로그램 등의 긴급하고 중요한 보정사항에 대하여 즉시 보정 하여야 함

시스템의 사용자인증 절차를 거치지 않고도 동 시스템 접속이 가능한 취약점을 제거하지 아니하여 접근권한이 없는 사용자가 시스템에 접속할 수 있었고 사용자 단말기에서 □□□시스템 및 ◇◇◇시스템에 접속하기 위해 필요한 자바 프로그램을 도입⋅운용하면서 동 프로그램 제조업체가 배포한 중요 업데이트 사항을 보정하지 아니하는 등 정보처리시스템 보호대책을 일부 미흡하게 운영하였음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제13조, 제1항, 제4호 ｢전자금융감독규정｣ 제15조, 제1항, 제2호

전산자료 보호대책 개선

내부 사용자가 □□□시스템 및 ◇◇◇시스템에 접속하기 위해 입력한 계정 및 비밀번호를 네트워크 망에 평문으로 전송하고 있어 네트워크 망 감청 시 동 정보가 노출될 수 있는 취약점이 있으므로, 앞으로 내부 사용자가 내부 업무용시스템 접속 시 암호화된 프로토콜을 사용하는 등 계정 및 비밀번호 전송방법을 개선하시기 바람

개인정보 보호대책 개선

솔루션을 통해 매월 임직원 PC의 개인정보 보유 여부를 점검하여 삭제 하고 있으나, 보유중인 PC 전체가 모두 점검되었는지에 대한 검증 절차 및 검출된 개인 정보에 대한 지점․부서별 조치결과 보고 절차가 마련되어 있지 않으므로 앞으로 일부 PC가 개인정보 보유여부 검색대상에서 장기간 누락되지 않도록 검증절차를 마련하고, 개인별․부서별 검출결과 및 사후조치 현황을 관리하는 등 개인 정보 검색시스템 운영 방법 및 관리절차를 개선하시기 바람

보조기억매체(USB) 등에 의한 정보유출을 방지하기 위해 임직원PC에

전산장애 및 재해 대응 절차 개선

아이비케이신용정보(주)*는 재해복구센터를 구축․운영하지 않고 있어, 전산장애 및 재해발생시 업무중단의 우려가 있으므로 *「전자금융감독규정」제23조 제8항에서 정한 재해복구센터구축대상 금융회사(은행, 보험 회사 등)에 해당되지 않음 신속한 전산시스템 복구 등을 위해 OS 디스크 백업복구, 시스템 대체작동 등 다양한 복구훈련 방안을 마련하고 훈련 주기, 대상 등을 선정하는 등 업무연속성 확보 방안을 개선하시기 바람

IT업무 직무분리 개선

IT인프라운영 담당자가