하나SK카드 검사결과제재 (2014-11-04)

경영유의사항 ⑴ 자체 검사업무 강화

감사위원회 결의 후 이사회에 보고한 2013년 연간검사계획에 의하면 감사위원회 산하 감사팀에 팀장 1명, 팀원 7명 등 총 8명의 감사인이 필요하다고 되어 있음에도 이번 검사착수일(2014.2.3.) 현재 팀장 1명, 팀원 4명 등 총 5명으로 운영되는 등 당초 계획대로 이행되지 않고 있고,

2014년도 연간검사계획에서 중점추진사항으로 선정한 정보 보안체계 운영리스크 최소화 등 정보보안 통제절차 점검, 고객정보보호 관리실태 점검을 충실하게 하기 위해서는 감사팀에 IT전문 검사인력이 배치되어 효율적인 검사가 이루어져야 하는데도 이번 검사착수일 현재까지 IT전문 검사역이 배치되지 않고 있으므로,

앞으로 자체 검사업무의 충실성 및 전문성 유지를 위하여 조속히 IT전문 검사인력 등을 증원하여 운용하는 등 자체 검사업무의 내실화를 기할 필요가 있음

(관련부서 : 감사팀, 인사팀)

⑵ 통합단말시스템 접근권한 관리강화

통합단말 관련 화면 및 DB접근 권한을 화면별 그룹단위로 일괄 부여하고 있어 일부 사용자에게 소속 업무와 무관한 화면 및 DB 조회 권한이 부여될 우려가 있으므로,

앞으로 전산자료의 유출 등을 예방하기 위하여 업무와 관련이 있는 담당자, 직원을 특정하여 조회 권한을 부여하고, 화면별 적정권한 부여여부 등에 대한 주기적 점검 절차를 마련하는 등 통합단말시스템 접근권한에 대한 관리를 강화할 필요가 있음

(관련부서 : 감사팀, 정보기획팀)

⑶ 개인정보 취급시스템에 대한 정보접근 통제 강화

개인정보 취급시스템의 개발 및 테스트서버 업무 개발에 필요한 고객정보 사용시 위변조 솔루션을 이용하여 가상 고객정보로 변환 후 사용하고 있으나, 개인정보 취급시스템 총 29대 중 재무회계(ERP)시스템 등 10대는 별도 개발 및 테스트 서버가 없거나, 데이터 위변조 솔루션이 적용되어 있지 않아 테스트 시 정보를 수동 변환하여 사용하고 있으므로,

앞으로 재무회계(ERP)시스템 등 모든 개인정보 취급시스템은 개발 및 테스트시스템을 별도 구축하고 동 시스템에 위변조 솔루션을 일괄 적용하여 개발 및 테스트 시 고객정보를 자동 변환하여 사용하도록 하는 등 개인정보 취급시스템관련 개발 시 고객정보 접근 통제를 강화할 필요가 있음

(관련부서 : 정보기획팀)

조치의뢰사항

⑴ 공개용 웹서버 관리 불철저 ㈎ 시스템프로그램에 대한 주요 보정 작업 소홀 ｢전자금융거래법」제21조, ｢전자금융감독규정」제15조 등에 따르면 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 시스템프로그램 등의 긴급하고 중요한 보정(patch)사항에 대하여 즉시 보정작업을 실시 하여야 함

검사착수일(2014.2.3.) 현재 외부와 연결되어 있어 해킹 등에 취약한 윈도우즈 서버 2대(인터넷 포탈 검색, 전자세금계산서)에 대하여 최신 보안업데이트, 백신업데이트 등 주요 보정작업을 최소 43일에서 최대 621일간 실시하지 아니하였음 ㈏ 공개용 웹서버 내 이용자 정보 관리 불철저 ｢전자금융거래법」제21조, ｢전자금융감독규정」제17조 등에 따르면 금융회사는 공개용 웹서버의 안전한 관리를 위하여 거래로그 관리를 위해 암호화하여 저장·관리하는 경우를 제외하고는 DMZ(Demilitarized Zone) 구간 내에는 이용자 정보 등 주요 정보를 저장 및 관리를 하여서는 아니 되는데도, 2012.1.1.~2014.2.3. 기간 중 DMZ 구간에 있는 안심클릭 서버(sfcapp01,02, 2대), 복지카드 서버 등 4대의 서버에 이용자이름, 주소 등의 이용자 정보를 암호화하지 않고 저장․보관하였음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제15조, 제17조

전산자료 보호대책 미흡

IT용역직원과 카드사 간의 데이터 공유 및 시스템접근을 SBC(Server Based Computing)시스템을 통하여 통제하고 있으나 개인정보가 포함된 데이터를 전체 사용자 공유폴더를 통하여 열람하는 것이 가능하도록 되어 있어 회사자료의 유출 우려가 있으므로 전체 사용자 공유폴더를 통한 열람을 제한하는 등 관련 절차를 개선하시기 바람 (관련부서 : 정보보안팀)

개인정보 암호화 보안방법 미흡

웹회원 비밀번호를 국가에서 권고하는 보안강도에 미달하는 SHA-1 암호알고리즘을 사용하고 있어 해킹 등에 의해 비밀번호가 노출 될 위험성이 있으므로 향후 웹회원 비밀번호를 국내외 암호 연구기관에서 권고하는 보안 강도 이상의 암호알고리즘으로 암호화하여 저장하는 등 암호화 방식을 개선하시기 바람 (관련부서 : 정보보안팀) 3. 현지조치사항 (이미 통보하였음)