의결 제2024-174호

○ 「전자금융거래법」상 '전자금융거래의 안전성 확보의무 위반’으로 과태료 8,000만원 부과

가. 지적사항

□ 기 관

1. 간편인증시스템 프로그램 통제 위반

○ 「전자금융거래법」 제21조 제2항, 「전자금융감독규정」 제7조 및 제29조 제6호에 의하면 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록, 변경된 프로그램의 운영시스템 적용시 처리하는 정보의 기밀성ㆍ무결성ㆍ가용성을 고려하여 충분한 테스트 및 관련 책임자 승인 후 실시하여야 하는데도

- 20xx.xx.xx.~20xx.xx.xx. 기간 중 간편인증시스템을 도입하면서 프로그램을 운영시스템에 적용할 때 접속자 수에 따른 전산자원(CPUㆍ메모리ㆍ네트워크) 사용률 분석을 통해 간편인증시스템이 중단 없이 정상적으로 운영 가능하도록 동시 접속자 수를 산정하는 가용성 테스트를 실시하지 않아 접속자수 증가에 따른 시스템 부하발생 여부 등을 적정히 검증하지 못하였으며,

간편인증시스템의 특정 서버 장애 발생시 나머지 정상 서버로 전환되어 가용성을 확보할 수 있도록 구성하였으나, 운영시스템 적용일인 20xx.xx.xx.까지 전산센터 서버간 자동전환 여부에 대한 가용성 테스트를 실시하지 않아 서버의 자동전환을 위한 방화벽 정책에 오류가 있었음을 사전에 확인하지 못함*에 따라,

* 정보보호센터에서 각 시스템별 방화벽 설정 변경에 대한 확인을 요청(20xx.xx.xx.)하였으나, 테스트 미실시로 오류를 검증하지 못함

20xx.xx.xx. 접속자 증가시 SSO* DB의 교착상태(Deadlock)로 인한 간편인증서버의 프로세스 자원 고갈 장애가 발생하였고, ○○ 재해복구센터의 간편인증시스템 서버의 장애 발생시 ●● 주전산센터의 서버로 자동전환되지 못하여 장중 약 xx시간 xx분간(xx:xx~xx:xx) 간편인증을 통한 모바일 트레이딩 시스템(MTS, “◆◆◆◆” 및 “◇◇◇◇”) 로그인이 중단된 사실 (사고금액 약xxx백만원**)이 있음

* SSO(Single Sign On) : 한 번의 로그인으로 여러 서비스를 이용하게 해주는 인증 시스템
** 접속장애 당시 로그인 시도를 하였고 장애종료 직후 매매내역이 있어 접속장애 당시 매매의사가 추정되는 고객에게 발생한 피해(매매 지연에 따른 손해)를 토대로 산정한 금액

2. MTS 접속서버 프로그램 통제 위반
○ 20xx.xx.xx.~20xx.xx.xx. 기간 중 TRANMGR* 모니터링 적용을 위해 MTS 접속 서버에서 주문중계 관련 프로그램을 변경하는 과정에서, MTS 접속 서버가 중단 없이 정상적으로 운영 가능하도록 고객의 주문이 순차적으로 처리되는지 여부 등에 대한 가용성 테스트를 실시하지 않아,

* 전체 거래를 모니터링 하기 위한 솔루션
- 20xx.xx.xx. 일부 MTS 접속 서버에서 고객의 주문이 지속적으로 적체되어 서버가 중단되는 전산장애가 발생하였고, 장 시작 이후 약 xx시간 xx분간(xx:xx~xx:xx) 동 접속서버*를 통한 고객의 주문이 처리되지 않은 사실 (사고금액 약xx백만원**)이 있음

* 동 접속서버 外 다른 서버를 통해서 접속 가능하였음
** 접속장애 당시 로그인 시도를 하였고 장애종료 직후 매매내역이 있어 접속장애 당시 매매의사가 추정되는 고객에게 발생한 피해(매매 지연에 따른 손해)를 토대로 산정한 금액

나. 근거법규

□ 기관에 대한 조치

ㅇ 「전자금융거래법」 제21조(안전성의 확보의무) 제2항
ㅇ 「전자금융거래법」 제51조(과태료) 제1항제1호
ㅇ 「전자금융감독규정」 제7조(전자금융거래 종류별 안전성 기준)
ㅇ 「전자금융감독규정」 제29조(프로그램 통제) 제6호