옐로페이 검사결과제재 (2015-02-24)

내부사용자 및 이용자 비밀번호 관리 불철저 ｢전자금융감독규정｣ 제32조 제2호, 제3호 및 제33조 제2항 제1호에 의하면 전자금융업자는 내부사용자의 비밀번호 유출을 방지하기 위하여 비밀번호 등록시 숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정, 분기 1회 이상 변경, 5회이내의 범위에서 입력오류 시 접속차단토록 설정하여야 하며, 이용자 비밀번호 유출을 방지하기 위하여 주민등록번호, 동일숫자, 연속숫자 등 쉽게 유추할 수 있는 비밀번호의 등록이 불가하도록 설정하여야 하는데도, ㈜옐로페이는 검사착수일(20XX.XX.XX.) 현재 내부사용자 및 이용자의 비밀번호 관리를 다음과 같이 소홀히 하였음

내부정보 유출방지대책 강화 내부 업무망은 인터넷망과 분리·운영을 원칙으로 하고 있으나, 회사메일로 지정한 외부메일서비스(◌◌◌◌◌)를 이용하기 위해서 내부망 단말기에 예외적으로 인터넷 접속을 허용하고 있고, 마우스 및 키보드가 USB장치로 접속되는 경우 OS상의 기능 미흡으로 USB의 접속차단을 하지 못하고 있으며, 악성코드 감염방지를 위하여 설치·운영 중인 백신프로그램(▨▨▨제품)의 사용자 임의삭제가 가능하여, 내부망 단말기에서 외부메일서비스의 사용, USB 접속 미차단 및 백신프로그램 임의삭제를 통해 내부정보(개인정보 포함)의 유출이 우려되고, 악성코드 감염을 통한 장애발생 가능성이 있으므로, 앞으로 내부정보 유출방지를 위하여 내부망의 외부메일서비스 접속을 차단하고, USB 사용통제 및 백신 등 필수 보안프로그램 삭제통제 등을 위해 PC 통합보안솔루션을 도입․운영하는 등 보안대책을 강화하시기 바람

네트워크 보안대책 강화 인터넷을 통한 □□

데이터베이스 보안대책 강화 데이터베이스에 대한 관리자 접속 시 접속일시, 접속자 및 IP 등 접속 내역에 대해서는 로그(Log)를 남기고 있으나, 구조적질의어(SQL)를 통한 데이터의 조회, 변경, 삭제 등의 작업내용(SQL사용내역)에 대해서는 로그를 기록하지 않고 있어, 동 작업내용에 대한 로그 부재로 데이터 무단 변경 등에 의한 사고 발생 시 사고 원인규명 및 데이터 변경의 적정성에 대한 효율적인 검증기능 수행이 곤란하므로, 앞으로 데이터베이스에서 관리자의 SQL 사용내역에 대한 로그를 남길 수 있도록 시스템 설정을 변경·적용하는 등 데이터베이스 보안대책을 강화하시기 바람