우리금융정보시스템 검사결과제재 (2014-10-29)

지원 종료 운영프로그램 사용에 따른 보안통제 강화

일부 Windows 운영체제는 기술지원이 종료되어 새로 발견된 취약점을 이용한 해킹 및 악성코드에 의한 공격 우려가 있어 동 운영체제를 사용하는 서버 총

대의 서버와 PC에 대하여 운영체제 전환계획을 수립·시행하고 있으나 ○대의 PC에 대해서는 계획 대비 전환이 지연되고 있으므로, 미전환 PC에 대하여 전환 계획을 구체적으로 수립하여 조속히 운영체제 전환을 완료하시기 바람 (관련부서 : 시스템운영부, 시스템적용부)

중요단말기 통제 불철저

전자금융거래법」제21조, 전자금융감독규정」제13조 등에 의하면 금융회사는 중요 단말기에 대하여는 업무 전용단말기 지정․사용, 인터넷 접속 금지, 그룹웨어 접속 금지 등 강화된 보호대책을 수립·운용 하여야 함

중요단말기 ○○대 중 ○대는 그룹웨어 접속 허용, ○대는 업무 전용단말기 미지정 및 인터넷 접속 허용, 그룹웨어 접속 허용 등 중요단말기에 대한 관리를 소홀히 하였음 (관련부서 : 정보보안부)

데이터베이스 계정관리 불합리

(가) 데이터베이스 관리자가 DB 계정 생성 시 정보보안부 승인 절차를 거친 후 데이터베이스 관리자가 계정 생성을 하고 있으나, 2011.11월 이전에 생성한 DB계정에 대해서는 사용 부서 및 용도가 관리되지 않는 등 사용자계정 관리가 불합리하므로, 사용부서 및 사용용도를 관리하도록 개선하시기 바람 (나) DB계정에서 복잡도가 낮은 비밀번호는 발견되지 않았으나 일부 DB계정의 경우 DB관리시스템 내 계정 프로파일을 설정하고 있지 않아, 향후 동 계정들은 복잡도가 낮은 비밀번호 설정 등의 우려가 있으므로, 계정 프로파일을 설정하여 비밀번호 복잡도 등의 설정 등이 강제화 되도록 관련 시스템을 개선하시기 바람 (관련부서 : 정보보안부)

단말기 및 전산자료 보호대책 강화

USB 등 저장매체를 통한 PC내 고객정보 유출방지를 위하여 고객정보유출 방지시스템, 문서보안시스템, 네트워크접근제어시스템 등을 구축하여 운영하고 있으나, 다음과 같은 불합리한 점이 있는바 개선하시기 바람 (가) 단말기에 원격 데스크탑 기능을 차단하고 있지 않아 타 사용자 PC에 무단 접근 가능성이 있어 단말기내 정보유출 등이 우려됨 (나) 정보시스템에서 다운로드 받은 파일을 PC에 저장 시 실시간 암호화가 지원되지 않아

일 ○회 정해진 시간에 PC에 저장되어 있는 파일에 대해 문서 암호화를 수행하고 있으나, 암호화 저장 전까지 일시적으로 암호화되지 않은 파 일이 유출될 경우 열람이 가능할 수 있음 (다) 그룹내 금융회사간 동일 문서보안프로그램과 문서암호화 키를 사용하 고 있어 계열사 간 공유가 허용되지 않아야 할 문서가 타 계열사에서 열람될 수 있음 (관련부서 : 정보보안부)