NH투자증권 검사결과제재 (2015-03-20)

취약점점검 대상시스템 확대 필요

등을 대상으로 주기적인 취약점 점검을 실시하고 있으나, □□□서버는 취약점 점검 대상에 포함하지 않아 동 서버 내 취약점 존재여부를 확인할 수 없으므로, 취약점 점검대상 서버를 □□□서버 등 주요 서버 전체로 확대 적용하여 정보처리시스템 운영의 안전성 확보를 강화할 필요가 있음

｢전자금융감독규정｣ 제15조 제2항 제2호에 의하면 금융회사는 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위하여 정보보호시스템을 설치운영하는 경우에는 최소한의 서비스번호(port)와 기능만을 적용하고 업무목적 이외의 기능을 제거해야 하며, 동 규정 제32조에 의하면 내부사용자의 비밀번호 유출을 방지하기 위하여 정보처리시스템의 계정 비밀번호는 숫자영문자 등을 혼합하여 8자리 이상으로 설정해야 하고, 비밀번호 보관 시 암호화 하여야 함

2013.11.6.~12.13. 기간 중 해킹에 취약한

공개용 웹서버 이용자 정보 관리 불철저

｢전자금융감독규정｣ 제17조 제1항 제4호에 의하면 금융회사는 내부통신망과 외부통신망사이의 독립된 통신망(DMZ구간) 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니하여야 하고, 거래로그를 관리하기 위한 경우에는 암호화하여 저장관리 하여야 함

DMZ구간에 위치한 □□□서버의 거래로그에 이용자 정보를 암호화하지 않고 평문으로 저장하였음

◎◎◎ 시스템 통제 강화

◎◎◎ 서비스를 이용하는 특정 고객(□□□)은 DMZ 구간에 자체 ◎◎◎ 서버를 구축하고 직접 운영하고 있으나, 동 고객과의 계약서에 고객이 동 서비스와 관련된 모든 IT기반시설 및 기타장비(