농협은행주식회사 검사결과제재 (2015-03-20)

IT위탁관리 불철저 ㈎ 전산자료 보호대책 관련 IT위탁관리 소홀에 관한 사항 전자금융감독규정 제13조 제1항에 따르면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료를 입력·출력·열람함에 있어 사용자의 업무별로 접근 권한을 통제하도록 전산자료 보호대책을 수립·운용하여야 하는데도 감사 당시(2013.11.6.) 농협은행은 농협중앙회에 대한 위탁관리 소홀로 인해 ⃝개의 내부 업무시스템에서 ◎◎취약점이 발견된 가운데 접근권한이 없는 사용자가 전산 시스템에 접근하여 악성코드 유포 및 전산자료 유출 등의 조작이 가능하였고, 일부 시스템의 경우 접근권한이 없는 사용자도 관리자 권한 획득이 가능하고 전산자료에 접근할 수 있는 등 전산자료 보호대책을 소홀히 하였음 ㈏ 해킹 등 방지대책 관련 IT위탁관리 소홀에 관한 사항 전자금융감독규정 제15조 제1항 및 제16조 제1항에 따르면 금융회사는 정보 처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 시스템 프로그램 등의 긴급하고 중요한 보정(patch)사항에 대한 즉시 보정작업을 실시하는 등 방지대책을 수립 운용하여야 하고, 악성코드 감염을 방지하기 위하여 응용프로그램을 사용할 때에는 악성코드 검색 프로그램 등으로 진단 및 치료 후 사용하고, 감염이 발견된 경우 악성코드 확산 및 피해를 최소화하기 위하여 필요한 조치를 신속하게 취하여야 하는데도, 감사 당시 농협은행은 농협중앙회에 대한 위탁관리를 소홀히 하여 중요 정보 처리시스템의 운영접속 단말기에서 사용중인 ◈◈프로그램이 최신 버전으로 보정 되지 않아 동 단말기에서 보안상 취약점이 있는 내부시스템에 접속할 경우 악성 코드가 감염될 수 있도록 취약하게 운영하였으며, 2013.10.4.~2013.11.14. 기간중 일부 자동화기기(⃝대)에서 악성코드가 완벽하게 치료되지 않아 반복적으로 감염되고 있음에도 이에 대한 원인규명이나 해결방안 등의 조치를 취하지 않았고, 전산작업 전용 노트북(⃝대)에도 악성코드 검색프로그램을 설치하지 않아 응용프로그램을 사용할 때 악성코드의 진단 및 치료가 되지 않는 등 해킹방지 대책을 소홀히 운영한 사실이 있음

테스트 데이터 변환 등 관리 불철저 전자금융감독규정 제13조 제1항에 따르면 금융회사는 전산자료의 유출, 파괴 등을 방지하기 위하여 테스트 시 이용자 정보사용을 금지하되 부하 테스트 등 이용자 정보의 사용이 불가피한 경우 이용자 정보를 변환하여 사용하고 테스트 종료 즉시 삭제하여야 하는데도, 농협은행은 전산프로그램 개발 및 부하 테스트 시 불가피한 경우 이용자 정보를 변환솔루션을 통해 변환하여 사용하였으나, 이용자 정보 중 고객성명(⃝건)이 변환되지 않고 테스트 서버에 저장되어 있었 으며, 동 변환된 이용자 정보 및 고객성명 정보가 프로그램 개발 및 테스트가 종료 된 후에도 삭제되지 않았음