Nabigo sa mga pagsusuring pangseguridad ang sampung kumpanyang pinansyal sa South Korea bago pag-ugnayin ang mga network sa ilalim ng mga eksepsiyon para sa AI

Natuklasan sa mga inspeksiyon na sa papel lamang pangunahing umiiral ang mga pananggalang

Nabigong ipatupad ang marami sa mga kinakailangang pananggalang sa seguridad ng sampung kumpanyang pinansyal sa South Korea na binigyan ng pansamantalang pahintulot na pag-ugnayin ang mga panloob na network ng negosyo at mga panlabas na serbisyo sa internet, ayon sa mga inspeksiyong isinagawa mula kalagitnaan ng Hulyo hanggang unang bahagi ng Setyembre. Kabilang sa mga kakulangan ang mga security management console na naa-access mula sa internet at isang serbisyong cloud na walang sertipikasyon sa seguridad.

Sinuri ng Financial Security Institute ang 12 alternatibong kontrol sa seguridad matapos bigyan ng Financial Services Commission ang mga kumpanya ng isang taong eksepsiyon noong Hunyo 19. Layunin ng pahintulot na magamit nila ang panlabas na artificial intelligence at software sa seguridad upang matukoy ang mga kahinaan sa mga panloob na sistema.

Ayon sa institute, itinama ang lahat ng kakulangan bago pag-ugnayin ang mga panloob at panlabas na network. Mahalaga ang pagkakaibang ito: ipinakikita ng mga natuklasan na hindi sapat ang paghahanda para sa mga eksepsiyon, ngunit hindi nito pinatutunayang nakapasok ang mga hacker sa mga panloob na sistema sa pamamagitan ng mga koneksiyong pinahintulutan ng programa.

Nakuha ni Rep. Han Chang-min ng Social Democratic Party, kasapi ng National Policy Committee ng National Assembly, ang mga materyal ng inspeksiyon. Ipinakita ng mga ito na marami sa mga pananggalang ay nasa yugto pa lamang ng pagpaplano at hindi napatunayan ng mga kumpanya kung gumagana ang kanilang mga kontrol sa sarili nilang mga kapaligirang operasyonal.

Lumitaw ang mga natuklasan habang ipinagpapaliban ng mga regulator ang ikalawang yugto ng mga eksepsiyon, na pipili sana ng hanggang 15 institusyon. Iniugnay ng mga awtoridad ang pagpapaliban sa pangangailangang ituon ang mga mapagkukunang administratibo sa hiwalay na sunod-sunod na paglabag at pagtagas ng datos, sa halip na ipahayag na ititigil na ang patakarang nagpapaluwag sa mga tuntunin sa paghihiwalay ng network.

Aling mga kumpanya ang siniyasat?

Binubuo ang unang grupo ng apat na bangko, tatlong kumpanya ng securities, dalawang insurer at isang kumpanya ng card. Kabilang sa mga bangko ang Shinhan Bank, Hana Bank, Woori Bank at KakaoBank. Kabilang naman sa mga kumpanya ng securities ang KB Securities, NH Investment & Securities at Mirae Asset Securities. Kabilang sa grupo ang Samsung Fire & Marine Insurance, Hanwha Life at Hyundai Card.

Siniyasat ang lahat ng sampu kaugnay ng mga alternatibong kontrol na hinihingi para sa kanilang mga eksepsiyon. Hindi isiniwalat ng institute kung aling kumpanya ang nagkaroon ng aling kakulangan, o inilathala ang detalyadong pagtukoy sa mga bigong kontrol, dahil maaaring makatulong ang naturang impormasyon sa mga umaatake na tumukoy ng mga puntirya.

Dahil dito, hindi maituturo sa sinumang pinangalanang kalahok ang natuklasang may ilang administrator console na naa-access mula sa panlabas na internet. Gayundin sa serbisyong cloud na walang sertipikasyon. Tinutukoy ng talaan ng mga siniyasat na kumpanya ang saklaw ng pagsusuri, hindi ang may pananagutan sa bawat partikular na kahinaan.

Ano ang hinihingi ng pansamantalang pahintulot

Karaniwang kailangang ihiwalay ng mga kumpanyang pinansyal ang mga panloob na sistema ng negosyo at mga sistema sa pagproseso ng impormasyon sa kanilang mga data center mula sa mga panlabas na network ng komunikasyon, kabilang ang internet. Pansamantalang pinaluwag ng hakbang noong Hunyo 19 ang hangganang ito para sa isang tiyak na layunin: paggamit ng panlabas na AI at software sa seguridad bilang serbisyo upang suriin kung may mga kahinaan ang mga panloob na sistema.

Ang software as a service, o SaaS, ay software na ina-access sa pamamagitan ng online na imprastraktura ng isang provider sa halip na lubusang i-install at patakbuhin sa sariling mga sistema ng kumpanya. Kapag ginagamit ito upang siyasatin ang panloob na teknolohiya, maaaring kailanganin ang kontroladong koneksiyon sa pagitan ng mga hangganang karaniwang ipinagbabawal tawirin ng mga tuntunin sa paghihiwalay ng network.

Kaya may mga kondisyon ang eksepsiyon. Kinailangang magtatag at magpatupad ng 12 pamalit na kontrol ang mga kumpanya, kabilang ang mga pamamaraan sa pagtugon sa mga insidente sa seguridad at pagkaantala ng mga serbisyong AI o SaaS. Kinailangan din nilang pigilan ang hindi kinakailangang pagbabahagi o pagproseso ng datos sa loob ng mga serbisyong iyon.

Hindi lamang ang ligtas na pag-uugnay ng mga network ang saklaw ng mga kondisyong ito. Saklaw din ng mga ito ang mangyayari kapag tumigil sa paggana ang isang panlabas na provider at ang paghawak sa impormasyon kapag naging bahagi na ng mga operasyong panseguridad ng kumpanya ang isang panlabas na serbisyo. Maaaring matugunan ng nakasulat na plano sa pagtugon ang hinihingi sa pagpaplano, nang hindi napapatunayang handa ang mga kawani, sistema at paghihigpit sa pag-access na isagawa ito.

Bakit mahalaga ang mga lantad na administrator console

Natuklasan sa mga inspeksiyon ang karaniwang kabiguang tiyaking gumagana ang mga kontrol sa mga kapaligirang aktuwal na paggagamitan ng mga ito. Iniwan din ng ilang kumpanya na naa-access mula sa internet ang mga sistema ng tagapangasiwa ng seguridad, na kilala bilang mga management console. Ginagamit ang mga interface na ito sa pangangasiwa ng mga kasangkapang panseguridad, kaya napakahalaga ng mga paghihigpit sa pag-access.

Hindi awtomatikong nangangahulugan ang pagiging naa-access mula sa internet na nalusutan ng isang umaatake ang pagpapatotoo o nakontrol niya ang sistema. Gayunman, lumilikha ito ng panlabas na daan patungo sa sensitibong administratibong interface. Hindi tinutukoy sa mga isiniwalat na resulta ng inspeksiyon ang mga kaayusan sa pagpapatotoo, tagal ng pagkakalantad o bilang ng mga apektadong institusyon.

Nagbabala si Yeom Heung-yeol, propesor sa Department of Information Security ng Soonchunhyang University, na maaaring hindi ganap na gumana ang mga pananggalang bago makumpleto ang mga pagwawasto. Itinuring niyang partikular na seryoso ang kakulangan sa pag-access sa mga sistema ng pamamahala ng seguridad:

Napakaseryoso ng kabiguang paghigpitan ang panlabas na pag-access sa sistema ng tagapangasiwa ng seguridad.

Ayon sa ulat ng institute, naitama ang mga kakulangan bago pinahintulutan ang mga koneksiyon. Nililimitahan nito ang mga maaaring mahinuha tungkol sa aktuwal na pagkakalantad ng mga panloob na network, ngunit nananatili ang malaking usapin sa pagsunod sa mga tuntunin: hindi pa lubusang naipatupad noong sinuri ang mga ito ng mga inspektor ang mga kontrol na dapat sana'y batayan ng eksepsiyon.

Ipinagpaliban ang ikalawang yugto dahil sa magkakahiwalay na paglabag

Itinakda ng Financial Services Commission na pumili ng susunod na grupo ng mga institusyon sa Oktubre 7. Iniulat ang pagpapaliban noong Oktubre 6, at binanggit ng mga awtoridad ang pangangailangang ituon ang mga mapagkukunan sa mga kamakailang insidente ng hacking at pagtagas ng datos at subaybayan ang mga pangyayari bago palawakin ang programa.

May mga iniulat na insidente mula Setyembre 27 sa mga institusyong kinabibilangan ng KB Kookmin Bank, Shinhan Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank at Hyundai Capital. Hindi pinatutunayan ng mga ulat na nagmula ang mga insidenteng iyon sa mga pansamantalang eksepsiyon sa paghihiwalay ng network.

Kapwa kabilang ang Shinhan Bank at Hana Bank sa grupo ng mga siniyasat at sa listahan ng mga institusyong may naiulat na insidente. Hindi patunay ng ugnayang sanhi-bunga ang pagkakasabay na iyon. Dapat pag-ibahin ang pagsusuri sa seguridad at ang mas malawak na pagtugon sa mga paglabag maliban kung may mga susunod pang natuklasang mag-uugnay sa mga ito.

Inilalarawan ng mahahalagang petsa ang sunod-sunod na pahintulot, inspeksiyon at pagpapaliban ng pagpapalawak:

• Hunyo 19: Binigyan ng komisyon ang sampung kumpanya ng pansamantalang eksepsiyon upang gumamit ng panlabas na AI at security SaaS.
• Kalagitnaan ng Hulyo hanggang unang bahagi ng Setyembre: Sinuri ng Financial Security Institute ang mga kumpanya at iniatas na itama ang mga kakulangan bago ituloy ang pag-uugnay ng mga network.
• Setyembre 14: Nakatakdang magsara ang mga aplikasyon para sa planong ikalawang yugto.
• Mula Setyembre 27: Iniulat ang sunod-sunod na paglabag at pagtagas ng datos sa sektor pinansyal.
• Oktubre 6: Iniulat ang pagpapaliban sa pagpili na nakatakda sana sa Oktubre 7.

Sinabi ng mga awtoridad na hindi binago ng pagkaantala ang kanilang paninindigan sa pagpapaluwag ng mga tuntunin para sa mga kumpanyang may sapat na kakayahan sa pagtugon. Walang ibinigay na bagong petsa ng pagpili.

Mas maliliit na institusyon ang makikinabang sa pagpapalawak

Palalawakin sana ng planong ikalawang yugto ang pagiging kuwalipikado lampas sa pinakamalalaking kumpanyang pinansyal, upang maisama ang mas maraming institusyong wala sa sektor ng pagbabangko at mga provider ng serbisyong pinansyal na elektroniko. Kinumpirma ang mga detalyadong hakbang matapos ang ikalimang pulong ng Frontier AI Situation Response Task Force ng komisyon, na nilahukan ng Financial Supervisory Service at ng Financial Security Institute.

Itataas sana mula 49 tungong 75 ang bilang ng mga kumpanyang kuwalipikadong mag-aplay, dagdag na 26 o humigit-kumulang 53%. Tataas naman mula sampu hanggang 15 ang mga bakanteng puwesto, o 50%. Tumutukoy ang mga bilang na ito sa pagiging kuwalipikado at planong kapasidad sa pagpili, hindi sa aktuwal na dami ng natanggap na aplikasyon.

Para sa mga kumpanyang pinansyal, ibababa sana mula 10 trilyong won tungong 2 trilyong won ang minimum na kinakailangang asset, habang ibababa mula 1,000 tungong 300 permanenteng empleyado ang pamantayan sa bilang ng kawani. Kakailanganin naman ng mga provider ng serbisyong pinansyal na elektroniko na umabot sa hindi bababa sa 2 trilyong won ang taunang halaga ng mga transaksiyong pinansyal na elektroniko at lumampas sa 10% ng kabuuang kita ang kaugnay na kita.

Sa dalawang kategorya, hindi maaaring sabay na humawak ng iba pang tungkulin sa teknolohiya ng impormasyon ang punong opisyal sa seguridad ng impormasyon. Bibigyan sana ng liham na hindi pagpapatupad ng mga tuntunin sa paghihiwalay ng network sa loob ng isang taon ang mga napiling kumpanya, matapos nilang magpatupad ng mga alternatibong kontrol.

Itinatampok ng mga natuklasan sa inspeksiyon na mahalaga sa pagpapalawak na ito ang kakayahang magpatupad. Magbubukas sa mas maraming kumpanya ang mas mababang hangganan sa laki, ngunit hindi nito inaalis ang pangangailangang magpakita ng gumaganang mga pananggalang. Plano rin ng mga regulator na isaalang-alang ang mga susunod na yugto at isang permanenteng balangkas batay sa progreso ng pagsubok at pangangailangan; hindi nalutas ng pagpapaliban ang mga desisyong iyon.

Bakit muling pinag-iisipan ng Korea ang pisikal na paghihiwalay

Naitala sa ulat tungkol sa paghihiwalay ng network ng Korea Capital Market Institute, ulat isyu 24-26 na inilathala noong Nobyembre 22, 2024 ni mananaliksik Hwang Se-woon, ang tensiyon sa patakaran. Sinusuri nito ang mga pakinabang sa seguridad at gastos sa pagpapatakbo ng pamamaraan ng Korea, kasabay ng lumalawak na paggamit ng software sa cloud at generative AI.

Iniuugnay ng ulat ang pinagmulan ng patakaran sa mga pagkaantala sa pagbabangko noong Marso 20, 2013, nang kumalat ang malisyosong code na nagkunwaring mga patch sa pamamagitan ng mga server na nag-a-update ng antivirus. Ayon dito, nag-anunsiyo ang mga awtoridad ng komprehensibong mga hakbang sa seguridad pinansyal noong Hulyo 2013 at pormal na naitatag sa mga regulasyon ang paghihiwalay ng network noong 2015.

Nakatutulong ipaliwanag ng lawak ng digital na pananalapi ang tugong iyon. Umabot na sa 87.7% ng lahat ng transaksiyong pinansyal ang mga transaksiyong elektroniko noong 2013, samantalang lumampas sa 33 trilyong won ang karaniwang kabuuang halaga ng mga transaksiyon sa internet at mobile banking kada araw, ayon sa ulat.

Gumagamit ang pisikal na paghihiwalay ng magkakaibang kagamitan o imprastraktura upang ilayo ang aktibidad sa internet sa panloob na trabaho. Gumagamit naman ang lohikal na paghihiwalay ng teknolohiya gaya ng virtualization upang magpanatili ng magkakahiwalay na kapaligiran sa iisang pisikal na imprastraktura. Hinahati ng network segmentation ang mga sistema sa mga sona at kinokontrol ang daloy ng trapiko sa pagitan ng mga ito, sa halip na ipagbawal ang lahat ng koneksiyon.

Tinutukoy sa ulat ni Hwang ang praktikal na salungatan: inihahatid sa pamamagitan ng mga panlabas na serbisyo sa cloud ang malaking bahagi ng makabagong software, kabilang ang generative AI, samantalang nasa mga protektadong panloob na network ang mahahalagang datos pinansyal. Inilalarawan nito kung paanong maaaring humadlang ang mahigpit na paghihiwalay sa pananaliksik, pagbuo ng software at karaniwang paggamit ng subscription software, kahit pa mapababa ng mga kasangkapang ito ang gastos o mapahusay ang mga proseso sa trabaho.

Pabor sa kontroladong mga koneksiyon ang paghahambing sa ibang bansa

Inihahambing sa ulat ng Korea Capital Market Institute ang mga pamamaraan sa Estados Unidos, Europa at Australia. Pangunahing pagkakaiba ang kung nag-uutos ba ng pisikal na pagdiskonekta o hinahayaang pumili ang mga institusyon ng disenyo ng seguridad habang pinananagot ang mga ito sa pagprotekta ng impormasyon.

Sa Estados Unidos, inilalarawan sa handbook sa seguridad ng impormasyon ng Federal Financial Institutions Examination Council ang mga pinagkakatiwalaan at hindi pinagkakatiwalaang sona ng network, mga kontrol sa pagitan ng mga sonang ito, tumpak na mga diagram ng network at daloy ng datos, at magkakapatong na paghihigpit. Napag-alaman sa ulat na hindi nagtatakda ang paraang ito ng iisang unibersal na paraan ng pisikal na paghihiwalay.

Para sa Europa, sinusuri sa ulat ang General Data Protection Regulation, ang ikalawang Payment Services Directive at ang gabay ng European Banking Authority. Ayon sa inilalarawang gabay, kailangan ang pananagutan ng pamunuan, mga kontrol sa mga panlabas na provider ng teknolohiya, limitadong karapatan sa pag-access, at pana-panahong pagsubaybay at pagsubok sa mga kontrol sa pag-access.

Batay naman ang paghahambing nito sa Australia sa gabay ng Australian Prudential Regulation Authority at payo ng Australian Cyber Security Centre. Itinuturing ng mga pamamaraang ito ang segmentation na isa lamang sa ilang kasangkapang panseguridad at nagbababala laban sa pagtingin sa buong panloob na network bilang pantay-pantay na pinagkakatiwalaan kapag nalampasan na ng umaatake ang panlabas na hangganan nito.

Bumabanggit din ang ulat ng mga sarbey na nagpapakitang noong 2022, nailipat o planong ilipat ng 82% ng mga bangkong sinarbey ang hindi bababa sa kalahati ng kanilang mga pangunahing mainframe sa cloud. Sa hiwalay na sarbey noong 2023, 66% ng mga kumpanyang pinansyal sa buong mundo ang nagsabing nagsusumikap silang lumipat sa cloud para sa paglago at inobasyon. Magkakaibang sukat ang mga bilang na ito mula sa magkahiwalay na sarbey, hindi palatandaan na bumaba ang paggamit mula isang taon tungo sa sumunod.

May tiyak na aral ang paghahambing para sa mga inspeksiyon sa Korea: nakasalalay sa aktuwal na paggana ng mga paghihigpit sa pag-access at pagsubok ang mas malawak na pagpipilian sa disenyo ng network. Inirerekomenda sa ulat ang unti-unting reporma, pamantayang klasipikasyon ng datos, mas matibay na pananagutan sa mga insidente, pamumuhunan sa seguridad at regular na mga inspeksiyon ng superbisor na sinusundan ng mga pagwawasto.

May mga paghihigpit sa datos pa rin sa hiwalay na eksepsiyon para sa SaaS

Pinahihintulutan ng hiwalay na hakbang sa pagpapaluwag ang mga kumpanyang pinansyal at provider ng serbisyong pinansyal na elektroniko na gumamit ng ilang administratibong kasangkapang SaaS nang hindi pumapasok sa regulatory sandbox para sa pananalapi. Hindi dapat ipagkamali ang paraang ito sa mga pansamantalang eksepsiyon para sa pagsusuri sa seguridad ng AI na ipinagkaloob sa sampung kumpanyang siniyasat.

Saklaw ng eksepsiyon ang SaaS na tinutukoy sa ilalim ng Enforcement Decree of the Act on the Development of Cloud Computing and Protection of Its Users, kaugnay ng mga kinakailangan sa paghihiwalay ng network sa ilalim ng Electronic Financial Transactions Act at mga kaugnay na regulasyon ng superbisyon.

Hindi saklaw nito ang mga gawaing may kinalaman sa impormasyong personal na pagkakakilanlan o personal na impormasyon sa kredito. Kailangan pa rin ng pag-apruba sa sandbox para sa paggamit ng SaaS na may kinalaman sa mga personal na datos na ginawang pseudonymous. Pinapalitan ng pseudonymization ang mga detalyeng tumutukoy sa isang tao ng mga kahalili, ngunit hindi nito kinakailangang gawing hindi na matutukoy ang impormasyon.

Kailangang dumaan sa pagsusuri ng Financial Security Institute ang mga aplikasyon. Dapat magpanatili ang mga kumpanya ng mga kontrol sa seguridad para sa mga aparatong ginagamit sa pag-access at suriin tuwing anim na buwan ang pagsunod sa mga kontrol, saka iulat ang mga natuklasan sa kanilang mga punong opisyal sa seguridad ng impormasyon. Naglathala rin ang institute ng buklet na nagpapaliwanag sa seguridad ng teknolohiyang pinansyal, mga panganib ng SaaS at mga hakbang upang matugunan ang mga ito.

Kapag pinagsama, ipinakikita ng dalawang paraang ito na may mga kondisyon ang pagpapaluwag sa regulasyon at hindi ito walang limitasyon. Nakadepende ang pansamantalang programa ng pagsubok sa mga pamalit na kontrol bago ang koneksiyon; nananatili naman sa administratibong SaaS ang mga pagbubukod sa paggamit ng datos, paunang pagsusuri at paulit-ulit na mga rebyu.

Kabilang sa mga agarang usaping hindi pa nalulutas kung aling mga kumpanya ang nagkaroon ng bawat kakulangan sa inspeksiyon, paano nabuo ang mga kahinaang iyon at kailan magpapatuloy ang ipinagpalibang pagpili. Pinakamalinaw na limitasyon sa insidente ang kumpirmasyon ng institute na naitama ang mga kakulangan bago pinag-ugnay ang mga network. Ang mas malawak na pagsubok ay kung mapananatili ng mga kumpanya ang gumaganang mga kontrol matapos ang inspeksiyon, sa halip na magharap lamang ng mga planong kailangan pang ipatupad sa udyok ng mga inspektor.

Mahahalagang Punto

• Binigyan ng pansamantalang eksepsiyon sa paghihiwalay ng network noong Hunyo 19 ang sampung kumpanyang pinansyal upang subukan ang AI at security SaaS.
• Natuklasan sa mga inspeksiyon mula kalagitnaan ng Hulyo hanggang unang bahagi ng Setyembre na marami sa mga kinakailangang pananggalang ay nasa yugto pa lamang ng pagpaplano.
• Naa-access mula sa internet ang ilang security management console, at walang sertipikasyon sa seguridad ang isang serbisyo sa cloud.
• Ayon sa Financial Security Institute, naitama ang lahat ng kakulangan bago pag-ugnayin ang mga panloob at panlabas na network.
• Ipinagpaliban ang pagpili sa Oktubre 7 ng hanggang 15 pang institusyon dahil sa magkakahiwalay na paglabag at pagtagas ng datos.
• Palalawakin sana ng plano ang kuwalipikadong grupo ng mga aplikante mula 49 tungong 75 kumpanya.
• Nananatili sa hiwalay na eksepsiyon para sa administratibong SaaS ang mga paghihigpit sa personal na datos, pagsusuri ng institute at mga rebyu sa seguridad tuwing anim na buwan.