에스티 로더, 오라클 EBS 취약점 관련 데이터 유출 공개

핵심 요약

화장품 회사 에스티 로더가 인사 운영에 사용되는 오라클 E-Business Suite(EBS) 시스템의 취약점으로 인한 데이터 유출 사고를 공개했습니다. 이는 기업의 핵심 업무 시스템인 ERP/EBS 애플리케이션에 존재하는 취약점(Exploit Public-Facing Application, T1190)이 적절히 관리되지 않아 발생한 것으로 보입니다. IT 감사인은 이 사건을 통해 조직 내 핵심 업무 시스템, 특히 개인정보를 처리하는 시스템에 대한 취약점 관리 및 패치 적용 프로세스의 적절성을 점검하고, 데이터 유출 발생 시의 통지 절차를 강화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치Oracle E-Business Suite(EBS)와 같은 핵심 업무 시스템에 대해 벤더사에서 제공하는 최신 보안 패치를 즉시 적용하고, 알려진 취약점(CVE)에 대한 상시 모니터링 및 신속한 대응 체계를 구축할 것을 권고함.
• ✔기술적 조치Oracle EBS 시스템을 포함한 모든 공개 웹 애플리케이션에 대해 정기적인 웹 취약점 점검(모의해킹 포함)을 수행하고, 발견된 취약점에 대해서는 OWASP Top 10 등 업계 표준에 따라 우선순위를 부여하여 즉시 조치할 것을 권고함.
• ✔관리적 조치개인정보를 처리하는 핵심 업무 시스템에 대한 취약점 관리 정책 및 절차를 재검토하고, 패치 관리 프로세스에 대한 책임과 역할을 명확히 정의하며, 정기적인 감사 및 검증을 통해 실효성을 확보할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 포함한 침해사고 대응 계획(CSIRT)을 수립하고, 관련 담당자 교육 및 모의 훈련을 통해 신속하고 적절한 대응 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기