Südkorea: Finanzaufsicht weitet Sicherheitsprüfung für Cloud-Anbieter aus

Vom Portal zur ganzen Angriffsfläche

Seit 2023 testet das FSI die Verwaltungssysteme für virtuelle Ressourcen der Cloud-Anbieter auf Schwachstellen. Damit sollen die Grenzen schriftlicher Bewertungen ausgeglichen werden, etwa durch Nachweise, Vor-Ort-Prüfungen und Vorführungen. Der Schwerpunkt dieser technischen Prüfung lag auf Portalen und Konsolen.

Nun will das Institut eine neue Methodik zur Verkleinerung der Angriffsfläche entwickeln. Zudem soll künstliche Intelligenz erkennen, welche Assets geprüft werden müssen, und besonders leicht ausnutzbare Schwachstellen aufspüren. Das soll die Prüfungen effizienter und einheitlicher machen.

Hintergrund

Als Grund nennt das Institut immer raffiniertere Cyberangriffe auf Schwachstellen in extern sichtbaren Assets. Hinzu kommt die wachsende Abhängigkeit von Finanzunternehmen von Cloud-Diensten. Eine Lücke bei einem Anbieter könnte so Kettenschäden bei vielen Finanzhäusern auslösen. Mögliche Schwachstellen sollen deshalb vorab erkannt und behoben werden.

In diesem Jahr führte das FSI eine Pilotbewertung bei einigen Cloud-Anbietern durch. Dabei wurden Sicherheitslücken entdeckt, die zu Datenabflüssen mit personenbezogenen Daten hätten führen können. Damit sieht das Institut die Wirksamkeit der Methode bestätigt.

Die CSP-Bewertung funktioniert so: Das FSI prüft stellvertretend für Finanzunternehmen Sicherheit und Betriebssysteme der Cloud-Anbieter, und die Branche nutzt die Ergebnisse gemeinsam. Im ersten Quartal des kommenden Jahres soll der Entwurf eines Gesetzes zur digitalen Finanzsicherheit vorliegen. Es soll Sicherheitsvorgaben auch auf Cloud-Anbieter und ähnliche Unternehmen ausdehnen.