Bezpieczeństwo5 lis 2026, 18:19 UTC·1 min czytania

Koreański FSI rozszerza kontrole dostawców chmury o systemy testowe

Koreański Instytut Bezpieczeństwa Finansowego obejmie kontrolami techniczymi także wystawione na zewnątrz systemy produkcyjne, deweloperskie i testowe dostawców chmury.

Security analyst monitoring cloud infrastructure dashboards for vulnerabilities in a financial sector operations center. — Zdjęcie: zdnet.co.kr

Południowokoreański Instytut Bezpieczeństwa Finansowego (FSI) rozszerza zakres technicznych kontroli dostawców usług chmurowych. Dotychczas sprawdzano głównie systemy zarządzania zasobami wirtualnymi, a teraz kontrole obejmą także wystawione na zewnątrz systemy produkcyjne, deweloperskie i testowe. Instytut zapowiedział też automatyzację opartą na sztucznej inteligencji, która ma wskazywać aktywa do sprawdzenia i wykrywać podatności. Nowe zasady zaczną w pełni obowiązywać od oceny w 2027 roku i obejmą dostawców, z którymi wcześniej to uzgodniono.

Od portalu i konsoli do powierzchni ataku

Instytut ogłosił w czwartek, że rozwija tzw. ocenę reprezentatywną bezpieczeństwa dostawców usług chmurowych (CSP). Od 2023 roku testuje on podatności w systemach zarządzania zasobami wirtualnymi, aby uzupełnić ocenę dokumentacji, audyty na miejscu i pokazy. Ta część, zwana oceną techniczną, koncentrowała się na portalach i konsolach.

Teraz FSI chce opracować nową metodologię ograniczania powierzchni ataku. AI ma też wskazywać podatności, które najłatwiej wykorzystać w atakach, co ma zwiększyć skuteczność i spójność kontroli.

Dlaczego to ważne

Jako powód podano coraz bardziej wyrafinowane cyberataki wykorzystujące luki w zasobach dostępnych z zewnątrz. Rosnąca zależność instytucji finansowych od chmury sprawia też, że słabość jednego dostawcy może wywołać kaskadę szkód w wielu firmach naraz. Celem jest wykrywanie i usuwanie potencjalnych luk, zanim dojdzie do incydentu.

W tym roku FSI przeprowadził pilotażową ocenę u wybranych dostawców. Według instytucji udało się wykryć z wyprzedzeniem podatności, które mogłyby prowadzić do wycieku danych osobowych, co potwierdziło skuteczność metody.

Ocena CSP działa tak, że FSI sprawdza zabezpieczenia i system operacyjny dostawcy w imieniu instytucji finansowych, a wyniki są wspólnie wykorzystywane przez cały sektor. W projekcie ustawy o bezpieczeństwie finansów cyfrowych, który ma powstać w pierwszym kwartale przyszłego roku, zakres przepisów bezpieczeństwa ma zostać rozszerzony także na dostawców chmury.