한국스탠다드차타드은행과 수협중앙회가 자동화기기(ATM·CD) 보안업무를 소홀히 하다 금융당국으로부터 제재를 받은 사실이 뒤늦게 확인됐다.
8일 금융감독원에 따르면 SC은행과 수협중앙회는 자동화기기 관리자 단말기 보안대책 미흡과 비밀번호 관리 불철저 등으로 각각 2건과 3건의 개선명령 제재를 받았다.
또 해당 직원에 대해 SC은행은 2건, 수협중앙회는 1건의 조치의뢰를 받았다.
전자금융거래법상 금융회사는 정보처리시스템 관리용 등 중요 단말기에 대해서는 노트북 등 휴대용 전산장비 사용과 인터넷 접속, 메일 송·수신, 그룹웨어 접속을 금지하는 등 강화된 보호대책을 수립해 운용해야 한다.
그러나 SC은행은 자동화기기 모니터링시스템 관리 서버를 운영하면서 관리자 단말기를 인터넷과 그룹웨어 접속을 차단하지 않고 외부 메일 송·수신을 허용한 상태로 운용한데다, 노트북을 관리자 단말기로 사용하는 등 관리자 단말기에 대한 보안대책을 소홀히 했다.
또 백신과 보안패치 관리서버에 접속하는 관리자 단말기를 외부용역직원에게 위탁·운영하면서 인터넷을 차단하지 않았다.
이외에도 자동화기기에서 전송되는 고객의 정보를 조회하거나 저장할 수 있는 관리자 단말기를 외부용역직원에게 위탁하면서 인터넷과 외부메일 송·수신 기능을 차단하지 않았고, 자동화기기 관리서버에 대한 관리자 등의 접속 기록을 유지하지 않았다.
수협중앙회 역시 자동화기기의 전산보안에 취약했다.
해킹 등의 사고를 방지하기 위해 악성코드 검색 및 치료 프로그램을 최신 상태로 유지해야 하지만 수협중앙회는 자동화기기 백신관리서버에 대한 방화벽 통제를 하지 않아 인터넷 접속이 가능한 미인가 PC에서도 백신관리서버에 접속이 가능했다.
뿐만 아니라 일부 자동화기기에는 최신 백신 프로그램이 설치되지 않아 외부 바이러스 위험에 노출된 상태였다.
이 외에도 자동화기기 보안관리 비밀번호가 허술하게 관리되고 있었고, 자동화기기 망을 인터넷망 외 별도 폐쇄망을 구성하지 않고 자동화기기 단말기를 모니터링 할 수 있는 채널관리시스템의 중앙 통제 기능이 미흡해 사용자 인증없이 접근이 되는 등 보안이 취약했다.
