韓国金融保安院、クラウド事業者の技術点検を拡大

同院は書面評価(証跡、実地調査、デモなど)の限界を補うため、2023年からクラウド事業者の仮想資源管理システムの脆弱性を点検してきた。技術分野評価と呼ばれるこの点検は、ポータルとコンソールが中心だった。

背景と今後

背景には、外部に公開された資産の脆弱性を突くサイバー攻撃の巧妙化がある。金融機関のクラウド依存が高まるなか、事業者の脆弱性が多数の金融機関に連鎖的な被害をもたらす懸念もあるという。同院は事業者の潜在的な脆弱性を事前に洗い出し、対処させる方針だ。

今年は一部の事業者を対象に試験評価を実施し、個人情報漏えいにつながりかねない脆弱性を事前に検出するなど、手法の有効性を確認した。

来年第1四半期に用意する「デジタル金融安全法」の制定案では、セキュリティ規律の適用対象をクラウド事業者などへ広げる方針だ。CSP安全性評価は、金融保安院が金融機関に代わって事業者のセキュリティや運用体制を点検し、結果を金融業界が共同で活用する仕組みである。