수산업협동조합중앙회 검사결과제재 (2014-12-05)

CD/ATM 보안통제 불철저 「전자금융거래법」제21조,「전자금융감독규정」제7조, 제15조 제2항 제2호, 제4호, 제16조 제1항 제2호에 의하면 금융회사는 정보보호시스템을 설치․운영하는 경우 에는 원격관리를 금지하고, 최소한의 서비스 번호(포트)와 기능만을 적용하여야 하며, 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위하여 악성코드 검색 및 치료프로그램을 최신 상태로 유지하여야 하는데도 (가) 수산업협동조합중앙회(이하 수협중앙회)는 검사 착수일 현재 CD/ATM 백신 업데이트를 위한 백신관리서버에 대한 원격접속 서비스 번호(포트) 등에 대한 방화벽 통제를 하지 않아 인터넷 접속이 가능한 미인가 PC에서도 백신관리서버에 원격으로 접속이 가능하도록 방화벽 정책을 운영하였으며 (나) 수협중앙회는 검사 착수일 현재 백신프로그램의 오류 등으로 전체 CD/ATM O대 중 O대에 설치된 백신 프로그램을 최신 상태로 갱신하지 아니하여 외부 바이러스 감염 등의 위험에 노출된 상태로 운영하였음

CD/ATM 단말기 보안관리 비밀번호 관리 불합리 검사착수일(2014.4.21.) 현재 CD/ATM에 설치되어 있는 보안 프로그램(◇◇)의 관리자 기능을 활성화하기 위해서는 2단계 인증절차를 거치도록 운영하고 있으나, 1단계 사용자 인증시 입력하는 비밀번호가 8자리 미만으로 구성되어 있고 유추하기 쉬운 비밀번호를 사용하는 등 비밀번호 관리에 불합리한 점이 있으므로, 강화된 비밀 번호 관리 대책을 마련하여 개선하시기 바람 (관련부서 : 정보보안팀)

CD/ATM 단말기 망 운용환경 불합리 CD/ATM 망은 인터넷 망과 별도의 폐쇄망으로 운용하여 중요 개인정보 및 금융 거래 정보 등이 인터넷을 통해 외부 유출을 막고 악의적인 해커의 외부공격 등을 원천적으로 차단하는 것이 바람직함에도 수협중앙회는 유해사이트 차단 프로그램을 이용하여 CD/ATM에 할당된 IP주소에서 인터넷 접속이 안되도록 차단하고 있으며, NAC(Network Access Control) 소프트웨어를 통해 CD/ATM의 IP를 임의로 변경하지 못하도록 하고 있으나 CD/ATM 망을 인터넷 망과 별도의 폐쇄망으로 구성하지 않고 인터넷 연결이 가능한 일반직원 PC와 동일한 망을 사용하고 있으며, CD/ATM 내에 일반직원 PC에서 접근이 가능한 공유폴더가 생성되어 있어 공유폴더를 통해 외부로 자료를 유출시키거나 악성 코드가 설치될 가능성이 있으므로 대외 자료 유출, 악의적인 해킹 공격 등을 차단하기 위하여 CD/ATM 망을 별도의 폐쇄망 분리하는 등 망 운용환경을 개선하시기 바람 (관련부서 : 정보보안팀)

CD/ATM 단말기 모니터링 시스템 관리 불합리 수협중앙회는 CD/ATM 단말기 가동상태 등을 확인하기 위하여 채널관리시스템을 운영하고 있으나 시스템의 작동여부만 확인이 가능하고 CD/ATM 단말기의 원격 재기동 등 중앙통제 기능이 미흡하며 채널관리시스템 접속시 사용자 인증을 하고 있으나, 사용자 인증 없이 특정 URL을 직접 입력해도 해당 페이지에 접근이 되는 등 보안이 취약하게 운영되고 있으므로 채널관리시스템이 단말기 원격 재기동 마련 등 중앙통제 기능을 강화하고 미 인증된 사용자의 URL 입력 접속을 차단하는 등 CD/ATM 모니터링 시스템의 미흡한 관리 환경을 개선하시기 바람 (관련부서 : IT지원부)