Sepuluh Firma Kewangan Korea Gagal Pemeriksaan Keselamatan Sebelum Menghubungkan Rangkaian di Bawah Pengecualian AI

Pemeriksaan mendapati perlindungan kebanyakannya hanya wujud di atas kertas

Sepuluh firma kewangan Korea Selatan yang diberi kebenaran sementara untuk menghubungkan rangkaian perniagaan dalaman dengan perkhidmatan internet luaran didapati gagal melaksanakan banyak langkah perlindungan keselamatan yang diwajibkan, menurut pemeriksaan yang dijalankan dari pertengahan Julai hingga awal September. Kekurangan itu termasuk konsol pengurusan keselamatan yang boleh diakses melalui internet dan perkhidmatan awan tanpa pensijilan keselamatan.

Institut Keselamatan Kewangan menyemak 12 kawalan keselamatan alternatif selepas Suruhanjaya Perkhidmatan Kewangan memberikan pengecualian selama setahun kepada firma berkenaan pada 19 Jun. Kebenaran itu bertujuan membolehkan mereka menggunakan perisian kecerdasan buatan dan keselamatan luaran untuk mengenal pasti kelemahan dalam sistem dalaman.

Institut itu berkata semua kekurangan telah diperbetulkan sebelum rangkaian dalaman dan luaran dihubungkan. Perbezaan itu penting: dapatan tersebut menunjukkan persediaan yang tidak mencukupi bagi pengecualian berkenaan, tetapi tidak membuktikan bahawa penggodam memasuki sistem dalaman melalui sambungan yang dibenarkan di bawah program itu.

Bahan pemeriksaan itu diperoleh oleh Ahli Parlimen Han Chang-min daripada Parti Demokratik Sosial, anggota Jawatankuasa Dasar Kebangsaan Dewan Negara. Bahan tersebut menunjukkan banyak langkah perlindungan masih di peringkat perancangan dan firma belum mengesahkan sama ada kawalan mereka berfungsi dalam persekitaran operasi masing-masing.

Dapatan itu muncul ketika pengawal selia menangguhkan pusingan kedua pengecualian yang sepatutnya memilih sehingga 15 institusi. Pihak berkuasa mengaitkan penangguhan itu dengan keperluan menumpukan sumber pentadbiran kepada gelombang pencerobohan dan kebocoran data yang berasingan, bukannya mengumumkan penamatan dasar melonggarkan peraturan pengasingan rangkaian.

Syarikat manakah yang diperiksa?

Kumpulan pertama terdiri daripada empat bank, tiga syarikat sekuriti, dua syarikat insurans dan sebuah syarikat kad. Bank berkenaan ialah Shinhan Bank, Hana Bank, Woori Bank dan KakaoBank. Firma sekuriti itu ialah KB Securities, NH Investment & Securities dan Mirae Asset Securities. Samsung Fire & Marine Insurance, Hanwha Life dan Hyundai Card melengkapkan kumpulan tersebut.

Kesemua sepuluh firma tertakluk kepada pemeriksaan terhadap kawalan alternatif yang diwajibkan bagi pengecualian masing-masing. Institut itu tidak mendedahkan firma mana yang mempunyai kekurangan tertentu atau menerbitkan perincian pembahagian item kawalan yang gagal, dengan alasan maklumat sedemikian boleh membantu penyerang mengenal pasti sasaran.

Oleh itu, dapatan bahawa sesetengah konsol pentadbir boleh diakses melalui internet luaran tidak boleh dikaitkan dengan mana-mana peserta yang dinamakan. Perkara yang sama terpakai kepada perkhidmatan awan yang tidak diperakui. Senarai firma yang diperiksa menunjukkan skop semakan, bukan pihak yang bertanggungjawab atas setiap kelemahan khusus.

Institut itu melaporkan dapatan kepada Suruhanjaya Perkhidmatan Kewangan dan berkata ia mengesahkan langkah pemulihan sebelum sambungan rangkaian diteruskan. Laporan pemeriksaan itu tidak mengenal pasti kerugian pelanggan, pencerobohan yang berjaya atau kebocoran data akibat kekurangan khusus tersebut.

Keperluan kebenaran sementara

Firma kewangan lazimnya perlu mengasingkan sistem perniagaan dalaman dan sistem pemprosesan maklumat di pusat data mereka daripada rangkaian komunikasi luaran, termasuk internet. Langkah pada 19 Jun itu melonggarkan sempadan tersebut buat sementara waktu bagi tujuan khusus: menggunakan perisian AI dan keselamatan luaran sebagai perkhidmatan untuk memeriksa kelemahan sistem dalaman.

Perisian sebagai perkhidmatan, atau SaaS, ialah perisian yang diakses melalui infrastruktur dalam talian penyedia, dan bukannya dipasang serta dikendalikan sepenuhnya dalam sistem syarikat sendiri. Penggunaannya untuk memeriksa teknologi dalaman mungkin memerlukan sambungan terkawal merentasi sempadan yang biasanya dihadkan oleh peraturan pengasingan rangkaian.

Oleh itu, pengecualian itu bersyarat. Firma perlu mewujudkan dan melaksanakan 12 kawalan gantian, termasuk prosedur menangani insiden keselamatan dan gangguan yang melibatkan perkhidmatan AI atau SaaS. Mereka juga perlu mencegah perkongsian atau pemprosesan data yang tidak perlu dalam perkhidmatan tersebut.

Syarat ini bukan sekadar memastikan sambungan dapat dibuat dengan selamat. Ia juga meliputi tindakan sekiranya penyedia luaran berhenti beroperasi dan cara maklumat dikendalikan selepas perkhidmatan luar menjadi sebahagian daripada operasi keselamatan firma. Pelan tindak balas bertulis boleh memenuhi keperluan perancangan tanpa membuktikan bahawa kakitangan, sistem dan sekatan akses sudah bersedia untuk melaksanakannya.

Kepentingan konsol pentadbir yang terdedah

Pemeriksaan mendapati kegagalan lazim untuk mengesahkan kawalan dalam persekitaran tempat kawalan itu sebenarnya akan beroperasi. Sesetengah firma juga membiarkan sistem pentadbir keselamatan, yang dikenali sebagai konsol pengurusan, boleh diakses melalui internet. Antara muka ini digunakan untuk mengurus alat keselamatan, menjadikan sekatan akses sangat penting.

Kebolehcapaian melalui internet sahaja tidak membuktikan bahawa penyerang memintas pengesahan atau memperoleh kawalan. Namun, keadaan itu mewujudkan laluan luaran ke antara muka pentadbiran yang sensitif. Pendedahan pemeriksaan tidak memperincikan aturan pengesahan, tempoh pendedahan atau bilangan institusi yang terjejas.

Yeom Heung-yeol, profesor di Jabatan Keselamatan Maklumat Universiti Soonchunhyang, memberi amaran bahawa langkah perlindungan mungkin belum beroperasi sepenuhnya sebelum kerja pembetulan selesai. Beliau menyifatkan akses kepada sistem pengurusan keselamatan sebagai kekurangan yang sangat serius:

Kegagalan menyekat akses luaran kepada sistem pentadbir keselamatan merupakan perkara yang sangat serius.

Laporan institut itu menyatakan bahawa langkah pemulihan dilakukan sebelum sambungan yang dibenarkan dibuat. Hal ini mengehadkan kesimpulan yang boleh dibuat tentang pendedahan sebenar rangkaian dalaman, namun kebimbangan pematuhan masih besar: kawalan yang sepatutnya menjadi asas pengecualian belum dilaksanakan sepenuhnya ketika pemeriksaan dijalankan.

Pusingan kedua ditangguhkan susulan pencerobohan berasingan

Suruhanjaya Perkhidmatan Kewangan merancang memilih kumpulan institusi seterusnya pada 7 Oktober. Penangguhan itu dilaporkan pada 6 Oktober, dengan pihak berkuasa menyatakan keperluan menumpukan sumber kepada insiden penggodaman dan kebocoran data baru-baru ini serta memantau perkembangan sebelum program diperluas.

Insiden dilaporkan sejak 27 September di institusi termasuk KB Kookmin Bank, Shinhan Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank dan Hyundai Capital. Laporan tersebut tidak membuktikan bahawa insiden berkenaan berpunca daripada pengecualian sementara pengasingan rangkaian.

Shinhan Bank dan Hana Bank tersenarai dalam kumpulan yang diperiksa dan juga dalam senarai institusi yang dilaporkan mengalami insiden. Pertindihan itu bukan bukti wujudnya hubungan sebab-akibat. Semakan keselamatan dan tindak balas terhadap pencerobohan yang lebih meluas perlu dibezakan melainkan dapatan lanjut mengaitkan kedua-duanya.

Tarikh utama menunjukkan urutan pemberian kebenaran, pemeriksaan dan penangguhan peluasan:

• 19 Jun: Suruhanjaya memberikan pengecualian sementara kepada sepuluh firma untuk menggunakan perkhidmatan SaaS AI dan keselamatan luaran.
• Pertengahan Julai hingga awal September: Institut Keselamatan Kewangan memeriksa firma berkenaan dan mewajibkan pembetulan sebelum sambungan rangkaian diteruskan.
• 14 September: Permohonan untuk pusingan kedua yang dirancang dijadualkan ditutup.
• Mulai 27 September: Beberapa pencerobohan dan kebocoran data dalam sektor kewangan dilaporkan.
• 6 Oktober: Penangguhan pemilihan yang dijadualkan pada 7 Oktober dilaporkan.

Pihak berkuasa berkata penangguhan itu tidak mengubah pendirian mereka untuk melonggarkan peraturan bagi firma yang mempunyai keupayaan tindak balas mencukupi. Tarikh pemilihan baharu tidak diumumkan.

Peluasan akan merangkumi institusi lebih kecil

Pusingan kedua yang dirancang akan meluaskan kelayakan melangkaui syarikat kewangan terbesar, kepada lebih banyak institusi di luar sektor perbankan dan penyedia perkhidmatan kewangan elektronik. Butiran langkah itu disahkan selepas mesyuarat kelima Pasukan Petugas Tindak Balas Situasi AI Termaju suruhanjaya, yang melibatkan Perkhidmatan Penyeliaan Kewangan dan Institut Keselamatan Kewangan.

Jumlah syarikat yang layak memohon dijadualkan meningkat daripada 49 kepada 75, iaitu pertambahan 26 syarikat atau kira-kira 53%. Bilangan tempat yang tersedia pula meningkat daripada sepuluh kepada sebanyak 15, iaitu kenaikan 50%. Angka ini merujuk kepada kelayakan dan kapasiti pemilihan yang dirancang, bukan jumlah permohonan yang benar-benar diterima.

Bagi firma kewangan, syarat aset minimum akan diturunkan daripada 10 trilion won kepada 2 trilion won, manakala ambang bilangan kakitangan akan diturunkan daripada 1,000 kepada 300 pekerja tetap. Penyedia perkhidmatan kewangan elektronik perlu mencatat nilai transaksi kewangan elektronik tahunan sekurang-kurangnya 2 trilion won dan hasil berkaitan melebihi 10% daripada jumlah hasil.

Bagi kedua-dua kategori, ketua pegawai keselamatan maklumat tidak boleh memegang fungsi teknologi maklumat lain secara serentak. Syarikat terpilih akan menerima surat tidak mengambil tindakan terhadap peraturan pengasingan rangkaian selama setahun, selepas melaksanakan kawalan alternatif.

Dapatan pemeriksaan menjadikan keupayaan pelaksanaan perkara utama dalam peluasan itu. Ambang saiz yang lebih rendah membuka penyertaan kepada lebih banyak firma, tetapi tidak menghapuskan keperluan membuktikan bahawa langkah perlindungan berfungsi. Pengawal selia juga merancang mempertimbangkan pusingan selanjutnya dan kerangka kekal berdasarkan kemajuan ujian serta permintaan; penangguhan itu belum memuktamadkan keputusan tersebut.

Mengapa Korea menilai semula pengasingan fizikal

Pertimbangan dasar itu didokumentasikan dalam laporan pengasingan rangkaian Institut Pasaran Modal Korea, laporan isu 24-26 yang diterbitkan pada 22 November 2024 oleh penyelidik Hwang Se-woon. Laporan itu meneliti manfaat keselamatan dan kos operasi pendekatan Korea, di samping peningkatan penggunaan perisian awan dan AI generatif.

Laporan itu mengesan asal-usul dasar berkenaan kepada gangguan perbankan pada 20 Mac 2013, apabila kod berniat jahat yang menyamar sebagai tampalan tersebar melalui pelayan kemas kini antivirus. Menurut laporan itu, pihak berkuasa mengumumkan langkah keselamatan kewangan menyeluruh pada Julai 2013 dan pengasingan rangkaian dimasukkan secara rasmi dalam peraturan pada 2015.

Skala kewangan digital membantu menjelaskan tindak balas tersebut. Menurut laporan itu, transaksi elektronik sudah merangkumi 87.7% daripada semua transaksi kewangan pada 2013, manakala purata nilai transaksi perbankan internet dan mudah alih harian melebihi 33 trilion won.

Pengasingan fizikal menggunakan peralatan atau infrastruktur berasingan untuk memisahkan aktiviti internet daripada kerja dalaman. Pengasingan logik menggunakan teknologi seperti pemayaan untuk mengekalkan persekitaran berasingan pada infrastruktur fizikal yang dikongsi. Pembahagian rangkaian pula memecahkan sistem kepada zon dan mengawal trafik antara zon, bukannya semestinya melarang semua sambungan.

Laporan Hwang mengenal pasti percanggahan praktikal: banyak perisian moden, termasuk AI generatif, disediakan melalui perkhidmatan awan luaran, sedangkan data kewangan penting disimpan dalam rangkaian dalaman yang dilindungi. Laporan itu menerangkan bagaimana pengasingan ketat boleh menghalang penyelidikan, pembangunan perisian dan penggunaan rutin perisian langganan, walaupun alat sedemikian boleh mengurangkan kos atau menambah baik proses kerja.

Perbandingan antarabangsa menyokong sambungan terkawal

Laporan Institut Pasaran Modal Korea membandingkan pendekatan di Amerika Syarikat, Eropah dan Australia. Perbezaan utamanya ialah antara menetapkan pemutusan sambungan fizikal dengan membenarkan institusi memilih reka bentuk keselamatan sambil tetap bertanggungjawab melindungi maklumat.

Di Amerika Syarikat, buku panduan keselamatan maklumat Majlis Pemeriksaan Institusi Kewangan Persekutuan menerangkan zon rangkaian yang dipercayai dan tidak dipercayai, kawalan antara zon tersebut, rajah rangkaian dan aliran data yang tepat serta sekatan berlapis. Laporan itu mendapati pendekatan ini tidak menetapkan satu kaedah pengasingan fizikal yang universal.

Bagi Eropah, laporan itu meneliti Peraturan Perlindungan Data Umum, Arahan Perkhidmatan Pembayaran Kedua dan panduan Pihak Berkuasa Perbankan Eropah. Panduan yang dihuraikan menekankan tanggungjawab pengurusan, kawalan terhadap penyedia teknologi luaran, hak akses terhad serta pemantauan dan pengujian kawalan akses secara berkala.

Perbandingan dengan Australia merujuk kepada panduan Pihak Berkuasa Kawal Selia Prudensial Australia dan nasihat Pusat Keselamatan Siber Australia. Pendekatan ini menganggap pembahagian rangkaian sebagai salah satu daripada beberapa alat keselamatan dan memberi amaran agar seluruh rangkaian dalaman tidak dianggap sama-sama dipercayai selepas penyerang melepasi sempadan luarnya.

Laporan itu turut memetik tinjauan yang menunjukkan bahawa pada 2022, 82% bank yang ditinjau telah memindahkan atau merancang memindahkan sekurang-kurangnya separuh komputer kerangka utama mereka ke awan. Tinjauan berasingan pada 2023 mendapati 66% firma kewangan global sedang melaksanakan migrasi awan demi pertumbuhan dan inovasi. Kedua-duanya ialah ukuran daripada tinjauan berbeza, bukannya trend yang menunjukkan penggunaan menurun antara tahun.

Perbandingan itu memberikan pengajaran khusus untuk pemeriksaan di Korea: kebebasan lebih besar dalam mereka bentuk rangkaian bergantung pada keberkesanan sekatan akses dan pengujian. Laporan itu mengesyorkan pembaharuan berperingkat, pengelasan data yang piawai, kebertanggungjawaban lebih kukuh terhadap insiden, pelaburan keselamatan serta pemeriksaan penyeliaan berkala yang disertai tindakan pembetulan.

Pengecualian SaaS berasingan mengekalkan sekatan data

Satu langkah pelonggaran berasingan membolehkan firma kewangan dan penyedia perkhidmatan kewangan elektronik menggunakan alat SaaS pentadbiran tertentu tanpa memasuki ruang kawal selia kewangan. Laluan ini tidak harus dikelirukan dengan pengecualian sementara untuk ujian keselamatan AI yang diberikan kepada sepuluh firma yang diperiksa.

Pengecualian itu meliputi SaaS yang ditetapkan di bawah Dekri Penguatkuasaan Akta Pembangunan Pengkomputeran Awan dan Perlindungan Penggunanya, berkaitan keperluan pengasingan rangkaian di bawah Akta Transaksi Kewangan Elektronik dan peraturan penyeliaan berkaitan.

Pengecualian itu tidak merangkumi aktiviti yang melibatkan maklumat pengenalan peribadi atau maklumat kredit peribadi. Penggunaan SaaS yang melibatkan data peribadi berpseudonim masih memerlukan kelulusan ruang kawal selia. Pseudonimisasi menggantikan butiran pengenalan dengan maklumat gantian, tetapi tidak semestinya menjadikan maklumat itu tanpa nama.

Permohonan perlu menjalani saringan oleh Institut Keselamatan Kewangan. Firma perlu mengekalkan kawalan keselamatan bagi peranti akses dan menyemak kawalan pematuhan setiap enam bulan, kemudian melaporkan dapatan kepada ketua pegawai keselamatan maklumat mereka. Institut itu turut menerbitkan buku kecil yang menerangkan keselamatan teknologi kewangan, risiko SaaS dan langkah untuk menanganinya.

Secara keseluruhan, kedua-dua laluan menunjukkan bahawa pelonggaran peraturan bersyarat, bukannya tanpa sekatan. Program ujian sementara bergantung pada kawalan gantian sebelum sambungan dibuat; laluan SaaS pentadbiran pula mengekalkan pengecualian data, saringan awal dan semakan berkala.

Isu segera yang belum terjawab ialah firma mana yang mengalami setiap kekurangan dalam pemeriksaan, bagaimana kelemahan itu berlaku dan bila pemilihan yang ditangguhkan akan disambung semula. Pengesahan institut bahawa pembetulan dibuat sebelum sambungan ialah batasan paling jelas yang dinyatakan berhubung insiden tersebut. Ujian lebih luas ialah sama ada firma mampu mengekalkan kawalan yang berfungsi selepas pemeriksaan, dan bukannya sekadar menyediakan pelan yang memerlukan pemeriksa mendorong pelaksanaannya.

Perkara Utama

• Sepuluh firma kewangan menerima pengecualian sementara pengasingan rangkaian pada 19 Jun untuk ujian SaaS AI dan keselamatan.
• Pemeriksaan dari pertengahan Julai hingga awal September mendapati banyak langkah perlindungan yang diwajibkan masih di peringkat perancangan.
• Sesetengah konsol pengurusan keselamatan boleh diakses melalui internet, manakala sebuah perkhidmatan awan tidak mempunyai pensijilan keselamatan.
• Institut Keselamatan Kewangan berkata semua kekurangan diperbetulkan sebelum rangkaian dalaman dan luaran dihubungkan.
• Pemilihan sehingga 15 institusi tambahan yang dijadualkan pada 7 Oktober ditangguhkan susulan pencerobohan dan kebocoran data berasingan.
• Peluasan yang dirancang akan meningkatkan jumlah syarikat yang layak memohon daripada 49 kepada 75.
• Pengecualian SaaS pentadbiran yang berasingan mengekalkan sekatan terhadap data peribadi, saringan institut dan semakan keselamatan setiap enam bulan.