한국스탠다드차타드은행 검사결과제재 (2014-12-05)

자동화기기 관리서버의 관리자 단말기 보안대책 불철저

「전자금융거래법」제21조,「전자금융감독규정」제12조 제3호 등에 의하면 금융회사는 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 하며 정보처리시스템 관리용 단말기 등 중요 단말기에 대하여는 노트북 등 휴대용 전산장비 사용 금지, 인터넷 접속 금지, 메일 송·수신 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 수립·운용 하여야 함

정보처리시스템 가동기록 미보존

「전자금융감독규정」제13조 제1항 제11호 및 제4항에 의하면 금융회사는 정보처리 시스템에 접속한 일시, 접속자 및 접근을 확인할 수 있는 접근기록 등 정보처리시스템의 가동기록이 자동적으로 기록 유지되도록 하고, 그 가동기록은 1년 이상 보존 하여야 함

검사착수일 현재(2014.4.15.) 자동화기기 모니터링시스템 관리서버 등 총 ◇대의 자동화 기기 관리서버를 운영하면서 동 서버에 대하여 관리자 등의 접속기록을 기록 유지하지 않는 등 정보처리시스템의 가동기록을 보존하지 아니하였음

개선사항 ⑴ 자동화기기 파일배포 관련 보안대책 미흡 검사착수일(2014.4.15.) 현재 한국스탠다드차타드은행은 자동화기기의 보안패치 등을 위하여 전체 영업점에 대표단말기 ◇대를 지정 운용하고 있으나, 동 단말기는 인터넷 접속 및 외부메일 송 수신 기능이 허용되어 있고, 내 외부인에 의한 해킹 등에 노출될 경우 단말기 내에 저장된 자동화기기 패치 등의 배포파일 위 변조 등을 통해 자동화기기 및 내부시스템이 해킹 등의 위협에 노출될 소지가 있으므로

앞으로 자동화기기에 배포하는 파일은 각 영업점의 특정 단말기를 경유하지 않고 전산센터내 전산부서에서 운영하는 중앙관리서버을 통해 직접 배포할 수 있도록 관련 시스템을 합리적으로 개선하시기 바람 (관련부서 : 정보시스템운영부) ⑵ 자동화기기에 대한 보호조치 미흡 검사착수일(2014.4.15.) 현재 한국스탠다드차타드은행 ◎◎지점의 자동화기기에 대한 운영 현황을 점검한 결과, 동 영업점에 설치된 자동화기기에는 자동화기기 처리업무에 불필요한 인터넷 브라우저(iExplorer.exe)가 설치되어 있고, 휴대용저장매체(USB)의 읽기 기능이 허용되어 있어 외부 유지보수 직원에 의한 고객정보의 유출 가능성이 있으며, 자동화기기의 핵심업무를 처리하는 프로세스에 대한 무결성 검증을 파일명으로만 실시 하고 있어 악성코드의 파일명을 보안정책에서 허용한 프로세스명 등으로 변경하여 실행할 경우 자동화기기 및 내부시스템이 해킹 등의 위협에 노출될 소지가 있으므로 앞으로 자동화기기에는 업무목적 이외의 불필요한 응용프로그램의 설치를 금지하고 휴대용저장매체의 읽기 기능을 차단하는 한편, 자동화기기에서 고객정보를 처리하는 중요 프로세스에 대해서는 무결성 검증 및 모니터링 체계를 강화할 수 있는 보안대책을 마련 운용하시기 바람 (관련부서 : 정보시스템운영부, 정보보안부)