diff --git a/src/main/java/egovframework/com/cop/sms/service/impl/SmsBasicDBUtil.java b/src/main/java/egovframework/com/cop/sms/service/impl/SmsBasicDBUtil.java
index 9e99c8b..0368814 100644
--- a/src/main/java/egovframework/com/cop/sms/service/impl/SmsBasicDBUtil.java
+++ b/src/main/java/egovframework/com/cop/sms/service/impl/SmsBasicDBUtil.java
@@ -12,6 +12,8 @@ import org.apache.commons.dbcp.PoolingDriver;
 import org.apache.commons.pool.impl.GenericObjectPool;
 import org.apache.log4j.Logger;
 
+import egovframework.com.cmm.service.EgovProperties;
+
 /**
  * 문자메시지를 위한 DB Util 클래스 (프레임워크 비종속 버전)
  * Apache commons의 DBCP를 활용한 예로 각 프로젝트에 맞게 수정 필요
@@ -39,12 +41,14 @@ public class SmsBasicDBUtil {
     private static final String JDBC_ALIAS = "default";
     /** JDBC Driver 명 */
     private static final String JDBC_DRIVER = "org.gjt.mm.mysql.Driver";
+    /* [보안/SER-004] SMS 발송 DB 접속정보 하드코딩(CWE-798) 제거 — 프로퍼티(globals)로 외부화.
+       Globals.sms.jdbc.url / .username / .password 로 설정한다(환경별 분리·암호화 계층 이관). */
     /** JDBC 접속 URL */
-    private static final String JDBC_URL = "jdbc:mysql://192.168.200.24:1621/com";
+    private static final String JDBC_URL = EgovProperties.getProperty("Globals.sms.jdbc.url");
     /** JDBC 접속 사용자ID */
-    private static final String JDBC_USER = "com";
+    private static final String JDBC_USER = EgovProperties.getProperty("Globals.sms.jdbc.username");
     /** JDBC 접속 패스워드 */
-    private static final String JDBC_PASSWORD = "com01";
+    private static final String JDBC_PASSWORD = EgovProperties.getProperty("Globals.sms.jdbc.password");
     /** 한번에 pool에서 갖다 쓸 수 있는 최대 커넥션 개수 */ 
     private static final int MAX_ACTIVE = 20;
     /** 사용되지 않고 pool에 저정될 수 있는 최대 커넥션 개수 */
diff --git a/src/main/webapp/WEB-INF/web.xml b/src/main/webapp/WEB-INF/web.xml
index 64306a0..e0354c2 100644
--- a/src/main/webapp/WEB-INF/web.xml
+++ b/src/main/webapp/WEB-INF/web.xml
@@ -13,6 +13,34 @@
   ************************************************************************************************
 -->
     <display-name>egovframework default</display-name>
+
+    <!-- [보안/SER-004] 보안 응답 헤더 (Tomcat 내장 필터, 2026.08.31)
+         · X-Frame-Options: SAMEORIGIN — 클릭재킹 방지. 관리자 화면이 같은 출처 iframe 을
+           쓰므로 DENY 가 아닌 SAMEORIGIN(같은 출처 프레임은 허용).
+         · X-Content-Type-Options: nosniff — MIME 스니핑 방지(ZAP 지적 항목).
+         · HSTS 는 HTTP 로컬/혼합 환경 오작동 방지를 위해 off. 운영 HTTPS 전환 시 hstsEnabled=true 로.
+         · 쿠키 HttpOnly 는 Tomcat 기본 적용(Set-Cookie 확인). Secure 는 운영 HTTPS 에서 context useHttpOnly/secure 로. -->
+    <filter>
+        <filter-name>httpHeaderSecurityFilter</filter-name>
+        <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
+        <init-param>
+            <param-name>antiClickJackingOption</param-name>
+            <param-value>SAMEORIGIN</param-value>
+        </init-param>
+        <init-param>
+            <param-name>blockContentTypeSniffingEnabled</param-name>
+            <param-value>true</param-value>
+        </init-param>
+        <init-param>
+            <param-name>hstsEnabled</param-name>
+            <param-value>false</param-value>
+        </init-param>
+    </filter>
+    <filter-mapping>
+        <filter-name>httpHeaderSecurityFilter</filter-name>
+        <url-pattern>/*</url-pattern>
+    </filter-mapping>
+
     <filter>
         <filter-name>encodingFilter</filter-name>
         <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>