대우증권주식회사 금감원 제재공시 · 2015-05-29

제재내용 공개

1. 금융기관명 : 대우증권(주)

2. 제재조치일 : 2015. 5. 29.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 개선 3건

임 원 |

직 원 | 조치의뢰 1건

[/표]

4. 제재대상사실

가. 조치의뢰 사항

(1) 정보처리시스템 보안관리 불철저

① 전산자료 보호대책 운영 불철저

「전자금융감독규정」제12조에 의하면 금융회사는 업무담당자 이외의 사람이 단말기를 무단으로 조작하지 못하도록 조치해야 하고, 동 규정 제13조에 의하면 전산자료의 유출, 파괴 등을 방지하기 위하여 전산자료의 입력출력열람을 함에 있어 사용자의 업무별로 접근권한을 통제해야 하며, 정기적으로 보조기억매체의 보유 현황 및 관리 실태를 점검하며 책임자의 확인을 받아야 하는데도,

대우증권은 ◇◇◇ 프로그램을 직원에게 배포 시 취약점이 존재하는 배포프로그램을 사용하여, 동 취약점이 악용되는 경우 임의의 이용자가 직원 단말기를 무단으로 조작할 수 있는 위험이 존재하도록 운영하였고,

영업점의 □□□를 내부 통신망에 연결하여 내부 직원 누구나 동 □□□내 전산자료에 접근할 수 있도록 운영하는 등 사용자의 업무별로 접근권한을 통제하지 아니하였으며,

분실 처리된 보안USB ◇◇◇개에 대하여 이용 정지 조치를 하지 않았고, 동 분실 처리된 보안USB 중 ◇◇◇개가 업무용 PC에서 사용되었음에도 통제 및 회수조치하지 않은 등 보조기억매체의 보유 현황 및 관리 실태 점검을 소홀히 하였음

② 내부사용자 비밀번호 보안관리 불철저

｢전자금융감독규정｣ 제32조에 의하면 금융회사는 내부사용자의 비밀번호 유출을 방지하기 위하여 담당업무 외에는 열람 및 출력을 제한할 수 있는 접근자의 비밀번호를 설정하여 운영해야 하고, 정보처리시스템의 비밀번호는 숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정하고 분기별로 1회 이상 변경하여야 하며, 시스템마다 관리자 비밀번호를 다르게 부여해야 하는데도,

대우증권은 ◇◇◇ 시스템의 관리자전용 화면에 대해 업무편의를 위하여 비밀번호를 설정하지 않고 □□□만 입력하면 로그인이 되도록 운영하였고,

◇◇◇ 및 □□□시스템의 ◎◎◎ 계정의 비밀번호는 숫자영문자를 혼합하지 않고 영문자만으로 구성하였으며, 분기별 1회 이상 변경하지 않고 구입당시의 초기값을 그대로 사용하였고, 양 시스템에 동일한 비밀번호를 사용하였음

나. 개선사항

(1) DR 전환 훈련 시 이용자 정보 조회내용 기록 미흡

재해복구센터 전환 훈련 시 ◇◇◇ 계좌를 사용하고 있으나, 훈련 종료 후 관련 자료를 삭제하는 과정에서 재해복구시스템 이용 기록도 함께 삭제되어 훈련 기간 중 업무용 화면을 통한 이용자 정보 조회 내역을 파악할 수 없으므로,

재해복구센터 전환 훈련 과정에서 발생한 이용자 정보 조회 기록을 보관 및 관리하도록 개선할 필요가 있음

(2) ◇◇◇ 거래정보 보호 강화

고객이 ◇◇◇을 이용하는 경우 고객 PC의 메모리에 금융거래정보를 평문으로 저장하고 있어 해커 등에 의해 동 정보가 노출 및 변조될 수 있는 위험이 있고,

고객이 ◇◇◇ 이용 시 고객 주민등록번호가 불필요하게 송수신되고 있으므로,

메모리 해킹 공격으로부터 고객 PC 상의 금융거래정보를 안전하게 보호할 수 있는 기술적 대응방안을 마련하고, 고객의 주민등록번호가 불필요하게 송수신 되지 않도록 관련 프로그램을 수정할 필요가 있음

(3) ◇◇◇ 비밀번호 보호 강화

대우증권이 보유하고 있는 □□□서버 설정파일 내 ◇◇◇ 비밀번호를 “◎◎◎” 방식으로 저장하고 있으나, 동 방식은 별도 암호화키 없이 쉽게 원래의 값을 찾을 수 있는 위험이 있으므로,

◇◇◇ 비밀번호 저장시 안전성이 보장된 알고리즘을 사용하여 암호화 저장하도록 개선할 필요가 있음