ING생명보험주식회사 검사결과제재 (2015-02-16)

웹서버 및 웹방화벽 등의 정보보호대책 소홀

금융회사는 정보시스템의 기술적 취약점 관리를 위하여 시기적절한 정보를 획득하여야 할뿐만 아니라 취약성이 식별된 후에는 필요한 조치를 시기적절하게 취해야하고, 시스템 변경시에는 변경에 따른 잠재적인 영향을 판단하기 위해 변경 영향평가와 테스트를 실시하여야 하며, 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 침입차단 시스템 등 정보보호시스템을 설치함과 아울러 적절히 관리 및 통제 하여야 함

회사는 해킹 등 전자적침해행위 방지목적으로 운영 중인 웹방화벽을 네트워크 지연오류 해결을 위해 ’14.4.16.~4.30. 기간 중 보안정책을 일시적으로 차단에서 오픈상태(탐지모드)로 전환하였으나, IT보안에 대한 업무미숙으로 시스템에 미치는 영향도를 분석하고 취약점을 보완하는 등의 적정한 정보보호 조치를 하지 않은 채, '디렉토리 리스팅 취약점*'에 노출된 상태로 운영하여 * 디렉토리 리스팅(Directory Listing) 취약점 : 웹 서버의 설정 미숙으로 서버의 디렉토리 및 파일 목록이 노출되고, 열람 및 다운로드가 가능하게 되는 취약점 ’14.4.27.∼4.30.(4일간)기간 중 설계사 영업지원 등을 위한 FC포털웹서버의 저장장치에 파일형태로 보관되어 있던 설계사 6,981명의 개인정보(성명 및 주민등록번호)*가 외부에 유출 가능한 상태에 있었음에도 이를 방지하지 못하는 등 정보시스템을 적절히 관리 및 통제하지 못한 사실이 있음 * 계약자 등 제3자 개인정보는 없었음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제7조, 제15조