오릭스캐피탈코리아 검사결과제재 (2015-02-24)

침입차단시스템 운용 관리 불철저

｢전자금융감독규정｣ 제15조 제2항 제4호에 의하면 금융회사는 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위해 정보보호시스템을 설치·운영하는 경우에는 정보보호시스템의 원격관리를 금지하고 주기적으로 작동상태를 점검 하여야 함

오릭스캐피탈코리아㈜는 20XX.XX.XX. 외부업체(㈜◯◯◯)와 침입차단시스템(◎◎◎◎◎)에 대한 유지보수 계약을 체결하고, 외부 원격접속으로 동 시스템에 관한 정책의 추가, 변경 및 삭제 등 관리*업무를 수행하도록 하였으며, * 매년 계약 갱신을 통해 침입차단시스템의 유지보수 및 기술지원을 받고 있으며, 보안정책 추가, 변경 및 삭제 시 이메일을 통해 업체에 의뢰

공개용 웹서버 관리 불철저

｢전자금융감독규정｣ 제17조 제1항 제1호 및 제4호에 의하면 금융회사는 공개용 웹서버를 내부통신망과 분리하여 내부통신망과 외부통신망 사이의 독립된 통신망(DMZ구간)에 설치하고 네트워크 및 웹 접근제어 수단으로 보호하여야 하고, DMZ구간 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 않아야* 하는데도, * 단, 거래로그를 관리하기 위한 경우에는 예외로 하되 이 경우 반드시 암호화하여 저장·관리하여야 함

오릭스캐피탈코리아㈜는 검사착수일 현재 공개용 웹서버(◆◆◆◆◆◆◆◆)를 독립된 통신망(DMZ구간)에 설치하지 않고 내부통신망에 설치·운영하고 있으며,