대우증권주식회사 검사결과제재 (2015-05-29)

◇ 프로그램을 직원에게 배포 시 취약점이 존재하는 배포프로그램을 사용하여, 동 취약점이 악용되는 경우 임의의 이용자가 직원 단말기를 무단으로 조작할 수 있는 위험이 존재하도록 운영하였고, 영업점의 □□□를 내부 통신망에 연결하여 내부 직원 누구나 동 □□□내 전산자료에 접근할 수 있도록 운영하는 등 사용자의 업무별로 접근권한을 통제하지 아니하였으며, 분실 처리된 보안USB ◇◇◇개에 대하여 이용 정지 조치를 하지 않았고, 동 분실 처리된 보안USB 중 ◇◇◇개가 업무용 PC에서 사용되었음에도 통제 및 회수조치하지 않은 등 보조기억매체의 보유 현황 및 관리 실태 점검을 소홀히 하였음

◇ 시스템의 관리자전용 화면에 대해 업무편의를 위하여 비밀번호를 설정하지 않고 □□□만 입력하면 로그인이 되도록 운영하였고,

◇ 및 □□□시스템의 ◎◎◎ 계정의 비밀번호는 숫자영문자를 혼합하지 않고 영문자만으로 구성하였으며, 분기별 1회 이상 변경하지 않고 구입당시의 초기값을 그대로 사용하였고, 양 시스템에 동일한 비밀번호를 사용하였음

◇ 계좌를 사용하고 있으나, 훈련 종료 후 관련 자료를 삭제하는 과정에서 재해복구시스템 이용 기록도 함께 삭제되어 훈련 기간 중 업무용 화면을 통한 이용자 정보 조회 내역을 파악할 수 없으므로, 재해복구센터 전환 훈련 과정에서 발생한 이용자 정보 조회 기록을 보관 및 관리하도록 개선할 필요가 있음

◇ 거래정보 보호 강화 고객이 ◇◇◇을 이용하는 경우 고객 PC의 메모리에 금융거래정보를 평문으로 저장하고 있어 해커 등에 의해 동 정보가 노출 및 변조될 수 있는 위험이 있고, 고객이 ◇

◇ 이용 시 고객 주민등록번호가 불필요하게 송수신되고 있으므로, 메모리 해킹 공격으로부터 고객 PC 상의 금융거래정보를 안전하게 보호할 수 있는 기술적 대응방안을 마련하고, 고객의 주민등록번호가 불필요하게 송수신 되지 않도록 관련 프로그램을 수정할 필요가 있음

◇ 비밀번호 보호 강화 대우증권이 보유하고 있는 □□□서버 설정파일 내 ◇

◇ 비밀번호를 “◎◎◎” 방식으로 저장하고 있으나, 동 방식은 별도 암호화키 없이 쉽게 원래의 값을 찾을 수 있는 위험이 있으므로,

◇ 비밀번호 저장시 안전성이 보장된 알고리즘을 사용하여 암호화 저장하도록 개선할 필요가 있음