우리카드 검사결과제재 (2015-05-29)

개발용 데이터베이스 운영·통제 불철저

전자금융감독규정 제13조 제1항 제2호 및 제10호에 의하면 금융회사는 외부사용자 에게 사용자계정을 부여하는 경우 개인별로 최소한의 작업권한만 할당하고 적절한 통제 장치를 갖춰야 하고, 테스트 시 이용자 정보를 사용해서는 아니되고 부하 테스트 등 사용이 불가피한 경우에는 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 하며 동 규정 제13조 제1항 제1호 및 제4호, 제32조 제2호에 의하면 금융회사는 사용자 계정과 비밀번호를 개인별로 부여하고 전자자료의 입력·출력·열람을 함에 있어 사용자의 업무별로 접근권한을 통제하고 비밀번호는 분기별 1회 이상 변경 하여야 함

개발 등을 위해 개발용 데이터베이스를 운영하면서 일부 테이블에 주민 등록번호 등 이용자 정보를 변환하지 아니한 상태로 운영·보관하였고 개발용 데이터베이스에 접근하기 위한 사용자계정을 ◉개(◎◎◎◎)만 운영하고 있어 개발자들이 동 계정을 공동으로 이용하고 있고 동 계정의 비밀번호를 주기적으로 변경하지 않고 사용하고 있으며 접근통제시스템을 개발 서버 및 개발 데이터베이스에 적용하지 않는 등 사용자의 업무별 접근권한을 통제하지 않았음

｢전자금융감독규정｣ 제13조, 제32조

정보처리시스템 보호대책 운영 불철저

시스템에서 운영되는 ◇◇◇프로그램에 대해 취약점을 분석·평가를 실시 하지 않아 ◇◇◇프로그램에서 해커가 원격에 설치한 파일을 다운로드 및 실행시킬 수 있는 취약점을 보완하지 아니하고 운영하였음 ② 접근권한 통제 및 비밀번호 관리 소홀 전자금융감독규정 제13조 제1항 제4호에 의하면 금융회사는 전산자료의 유출․ 파괴 등을 방지하기 위하여 접근권한을 사용자의 업무별로 통제하도록 하여야 하고 동 규정 제32조 제2호에 의하면 내부사용자 비밀번호는 분기별 1회 이상 변경하고, 보관 시 암호화하여야 하는데도 □□□서버와 ◇◇◇서버에 우리금융그룹 계정관리 소프트웨어를 설치하지 않아 접근권한을 사용자의 업무별로 통제하지 않았고 ◯◯◯서버와 ◇◇◇서버의 경우 계정․비밀번호를 최초 도입 후 수정하지 않았으며 □□□서버에 타 서버의 계정 및 비밀번호를 평문으로 저장하는 등 정보처리시스템 보호 대책을 일부 미흡하게 운영하였음

｢전자금융감독규정｣ 제12조, 제13조, 제20조, 제32조

직원 PC에 개인정보가 저장․보관되는 것을 방지하기 위하여 ◇◇◇솔루션을 통해 개인정보 저장․보관 여부를 매일 점검하고 개인정보가 검출된 직원에 대해서는 동 정보를 삭제토록 통지하고 있으나 우리카드가 보유한 PC 전체가 일일 검색대상에 모두 포함되어 있는지 등에 대한 정기적인 점검 절차가 없고, 개인정보 검출내역에 대해 별도로 분석 및 보고하는 등의 관리절차가 미흡하므로 향후 일부 PC가 개인정보 검색대상에서 장기간 누락되지 않도록 관리하고 검출 내역에 대해 개인별․부서별로 주기적으로 분석하고 현황을 관리하는 등 개인정보 검색 시스템 운영 방법 및 관리 절차를 개선하시기 바람

USB 등에 의한 정보유출을 방지하기 위하여 □□□프로그램, ◯◯◯프로그램 및 ◇◇◇프로그램을 임직원 PC에 설치하여 PC 보조기억매체 내 저장된 파일의 읽기 및 쓰기 기능을 차단하는 등의 통제를 하고 있으나 동 프로그램들의 안전성을 점검한 결과, 동 프로그램들의 통제 무력화가 확인 되었으므로 향후 동 프로그램들의 기능 보완 또는 새로운 프로그램 도입 등의 정보시스템 보안기능 강화대책을 마련·운영하시기 바람

재해복구센터 운영 불합리