하나SK카드 검사결과제재 (2013-12-13)

공개용 웹서버 관리대책 이행 불철저

「전자금융감독규정」제17조 제4항 제7호 및 제29조 제6호 및 제7호 의하면 금융기관은 공개용 웹서버가 해킹공격에 노출되지 않도록 접근통제 취약점에 대하여 적절하게 대응 조치를 해야 하고, 운영시스템에 대한 프로그램 등록·적용은 관련 책임자 승인 후 해당 프로그램 담당자 이외의 자가 수행 해야 함

하나SK카드㈜는 ◯◯◯◯ 홈페이지(공개용 웹서버)에 거래기업이 ◯◯◯◯ 관련 정보를 조회 할 수 있는 사이트를 운영하면서, 거래기업인 ◯◯◯의 경우 아이디, 비밀 번호 입력 등의 로그인 절차 없이 ◯◯◯◯ 관련 정보 조회가 가능하도록 프로그램을 개발하였으며, 동 프로그램을 책임자 승인없이 2011.12.29. 홈페이지 서버에 등록․적용함 으로써, 검사착수일(2013.6.3.)까지 해킹 공격에 취약한 상태로 홈페이지(공개용 웹서버)를 운영하였음

｢전자금융거래법｣ 제21조 ｢전자금융감독규정｣ 제17조, 제29조

정보보호최고책임자 지정 불철저

「전자금융거래법」제21조의 2 제4항 및「전자금융거래법시행령」제11조의 2 제2항에 의하면 금융기관은 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자(CISO)를 지정함에 있어, 학사학위를 취득한 후 5년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 자를 지정 해야 함

하나SK카드㈜는 학사학위를 취득한 후 정보기술 분야 업무를 수행한 경력이 ◯년 ◯◯개월에 불과하여 동 자격요건에 부합하지 아니한 자를 2013.1.1. 정보보호최고책임자로 지정하였음

｢전자금융거래법｣ 제21조의 2 ｢전자금융거래법시행령｣ 제11조의 2