AI関連の例外措置でネットワーク接続前に、韓国の金融企業10社が安全対策の検査で不備

安全対策は主に書面上のものと判明

社内業務ネットワークと外部インターネットサービスの接続について一時的な許可を受けた韓国の金融企業10社で、義務付けられた安全対策の多くが実際には運用されていなかったことが、7月中旬から9月上旬に実施された検査で判明した。不備には、インターネットからアクセス可能なセキュリティ管理コンソールや、セキュリティ認証を受けていないクラウドサービスが含まれていた。

金融保安院は、金融委員会が6月19日に各社へ1年間の例外措置を認めた後、代替的な安全管理策12項目を審査した。この許可は、社内システムの脆弱性を特定するために、外部の人工知能（AI）やセキュリティソフトを利用できるようにすることを目的としていた。

同院によると、不備はすべて、社内ネットワークと外部ネットワークの接続前に是正された。この点は重要だ。検査結果は例外措置への準備が不十分だったことを示しているが、制度で認められた接続を通じてハッカーが社内システムに侵入したことを立証するものではない。

検査資料は、国会の政務委員会に所属する社会民主党の韓昌民（ハン・チャンミン）議員が入手した。多くの安全対策が計画段階にとどまり、各社が自社の運用環境で対策が機能するかを検証していなかったことが示されていた。

規制当局が最大15機関を選ぶ予定だった第2次例外措置の延期を決めるなかで、検査結果が明らかになった。当局は延期について、別の一連の情報漏洩やデータ流出への対応に行政資源を集中させる必要があるためと説明しており、ネットワーク分離規則を緩和する方針を打ち切るとは表明していない。

検査を受けた企業は

第1陣は銀行4行、証券会社3社、保険会社2社、カード会社1社で構成された。銀行は新韓銀行、ハナ銀行、ウリィ銀行、カカオバンク。証券会社はKB証券、NH投資証券、未来アセット証券だった。サムスン火災海上保険、ハンファ生命、現代カードが加わり、計10社となった。

10社すべてが、例外措置の条件である代替的な安全管理策の検査対象となった。同院は、攻撃者が標的を特定する手掛かりになり得るとして、どの企業にどの不備があったのか、また不備のあった項目の詳しい内訳を公表しなかった。

そのため、一部の管理者用コンソールが外部インターネットからアクセス可能だったという結果を、特定の参加企業に結びつけることはできない。認証を受けていないクラウドサービスについても同様だ。検査対象企業の列挙は審査範囲を示すものであり、それぞれの具体的な弱点に対する責任を示すものではない。

同院は金融委員会に検査結果を報告し、ネットワーク接続に先立って是正措置が取られたことを確認したと説明した。検査報告では、これらの不備が原因となった顧客の損失、不正侵入の成功、データ流出は確認されていない。

一時許可で求められたこと

金融企業は通常、データセンター内の社内業務システムや情報処理システムを、インターネットを含む外部通信ネットワークから分離しなければならない。6月19日の措置は、特定の目的に限ってこの境界を一時的に緩和した。外部のAIやセキュリティソフトをサービスとして利用し、社内システムの脆弱性を調べるためだ。

サービスとしてのソフトウェア（SaaS）とは、企業のシステム内に完全にインストールして運用するのではなく、提供事業者のオンライン基盤を通じて利用するソフトウェアを指す。これを社内技術の検査に使うには、通常ならネットワーク分離規則で制限される境界を、管理された形で接続する必要が生じる場合がある。

したがって、例外措置には条件が付いていた。各社は、AIやSaaSサービスに関連するセキュリティ事故や障害への対応手順を含む12項目の代替策を整備し、実施しなければならなかった。また、サービス内で不必要なデータ共有や処理が行われないようにする必要もあった。

これらの条件は、安全に接続できるかどうかだけでなく、外部提供事業者のサービスが停止した際の対応や、外部サービスが企業のセキュリティ運用に組み込まれた後の情報の取り扱いも対象としていた。対応計画を文書化すれば計画上の要件は満たせても、担当者、システム、アクセス制限が実際にその計画を実行できる状態にあることの証明にはならない。

管理者用コンソールの公開が問題となる理由

検査では、実際に運用する環境で安全対策が機能するかを確かめていないという共通の問題が明らかになった。一部企業では、管理コンソールと呼ばれるセキュリティ管理者用システムも、インターネットからアクセスできる状態にあった。これらの画面はセキュリティツールの管理に使われるため、アクセス制限はとりわけ重要だ。

インターネットからアクセスできる状態だったというだけで、攻撃者が認証を回避した、あるいはシステムを掌握したと証明されるわけではない。しかし、機密性の高い管理者用インターフェースに外部から到達できる経路ができる。検査結果の公表資料には、認証の仕組み、公開されていた期間、影響を受けた機関数は記されていない。

順天郷大学情報セキュリティ学科の廉興烈（ヨム・フンヨル）教授は、是正が完了する前は安全対策が十分に機能していなかった可能性があると警告した。とりわけ、セキュリティ管理システムへのアクセスを問題視し、次のように述べた。

セキュリティ管理者システムへの外部アクセスを制限できていないのは、非常に深刻な問題だ

同院の説明では、許可された接続の前に是正が行われた。このため、社内ネットワークが実際にどの程度さらされていたかについて断定できる範囲は限られる。一方で、例外措置を正当化するための安全対策が、検査時点では完全に実施されていなかったという重大なコンプライアンス上の懸念は残る。

別の侵害事案を受けて第2次募集を延期

金融委員会は、10月7日に次の参加機関を選定する予定だった。延期は10月6日に報じられ、当局は最近のハッキングやデータ流出への対応に資源を集中させ、制度拡大の前に状況を見極める必要があると説明した。

9月27日以降、KB国民銀行、新韓銀行、ハナ銀行、BNK釜山銀行、イェガラム貯蓄銀行、ウェルカム貯蓄銀行、現代キャピタルなどで事案が報告された。ただし、それらの事案が一時的なネットワーク分離の例外措置に起因したことを示す報告はない。

新韓銀行とハナ銀行は、検査対象企業にも、事案が報告された機関の一覧にも含まれている。この重複は因果関係の証拠ではない。さらなる調査結果で両者の関連が確認されない限り、セキュリティ検査と、より広範な侵害事案への対応は区別すべきだ。

主な日付を並べると、許可、検査、制度拡大の延期という流れが見て取れる。

• 6月19日：金融委員会が10社に対し、外部のAIやセキュリティSaaSの利用を目的とする一時的な例外措置を認めた。
• 7月中旬から9月上旬：金融保安院が各社を検査し、ネットワーク接続の前に是正を求めた。
• 9月14日：第2次募集の申請締め切り予定日。
• 9月27日以降：金融分野で一連の侵害事案やデータ流出が報告された。
• 10月6日：10月7日に予定されていた選定の延期が報じられた。

当局は、対応能力が十分な企業に対する規制緩和の方針は変わらないと説明した。新たな選定日は示されていない。

制度拡大で中小規模の機関も対象に

第2次募集では、対象が最大手の金融企業から、銀行以外のより多くの機関や電子金融サービス事業者へ広がる予定だった。詳細な措置は、金融監督院と金融保安院が参加する金融委員会の「フロンティアAI状況対応タスクフォース」第5回会合後に確認された。

申請資格を持つ企業は49社から75社へ26社増え、約53％拡大する予定だった。選定枠は10社から最大15社へ、50％増える見込みだった。これらは申請資格と予定された選定枠の数字であり、実際に寄せられた申請件数を示すものではない。

金融企業の最低資産要件は10兆ウォンから2兆ウォンへ、従業員要件は正社員1,000人以上から300人以上へ引き下げられる予定だった。電子金融サービス事業者には、年間の電子金融取引額が2兆ウォン以上で、関連収入が総収入の10％を超えることが求められる。

両区分とも、最高情報セキュリティ責任者（CISO）は他の情報技術関連業務を兼務できない。選定企業には、代替的な安全対策を整備した後、ネットワーク分離規則の不適用を認める1年間の通知書が交付される予定だった。

検査結果を踏まえると、制度拡大では各社の実施能力が重要となる。対象規模の要件を引き下げれば参加企業は増えるが、機能する安全対策を実証する必要はなくならない。規制当局は、試験の進捗や需要を踏まえ、追加募集や恒久的な枠組みも検討する予定だった。今回の延期で、そうした判断が決着したわけではない。

韓国が物理的な分離を見直す理由

政策上の課題は、韓国資本市場研究院のネットワーク分離に関する報告書（第24-26号）にもまとめられている。黄世雲研究員が2024年11月22日に発表した同報告書は、クラウドソフトや生成AIの利用拡大を背景に、韓国の方式がもたらす安全上の利点と運用コストを検証している。

報告書は、政策の起源を2013年3月20日の銀行システム障害にさかのぼる。パッチを装った悪意あるコードが、ウイルス対策ソフトの更新サーバーを通じて拡散した。報告書によると、当局は2013年7月に総合的な金融セキュリティ対策を発表し、2015年には規則上、ネットワーク分離が正式に定められた。

デジタル金融の規模も、こうした対応の背景を説明する。同報告書によると、2013年には電子取引が金融取引全体の87.7％を占め、インターネットバンキングとモバイルバンキングの1日平均取引額は33兆ウォンを超えていた。

物理的分離では、別個の機器やインフラを使い、インターネット上の活動を社内業務から切り離す。論理的分離では、仮想化などの技術を用い、物理インフラを共有しながら別々の環境を維持する。ネットワークのセグメンテーションでは、すべての接続を一律に禁止するのではなく、システムを区域に分け、区域間の通信を制御する。

黄氏の報告書は、現実的な課題として、生成AIを含む最新のソフトウェアの多くが外部のクラウドサービスを通じて提供される一方、重要な金融データは保護された社内ネットワークに置かれている点を挙げる。厳格な分離は、コスト削減や業務改善につながるツールであっても、研究やソフトウェア開発、サブスクリプション型ソフトウェアの日常利用を妨げる場合があるという。

海外では管理された接続を重視

韓国資本市場研究院の報告書は、米国、欧州、オーストラリアの対応を比較している。中心となる違いは、物理的な切断を規定するのか、それとも情報保護の責任を機関に負わせたうえで、安全設計の選択を認めるのかという点だ。

米国については、連邦金融機関検査協議会（FFIEC）の情報セキュリティ・ハンドブックを検証している。同ハンドブックは、信頼できるネットワーク区域と信頼できない区域、その間の管理策、正確なネットワーク図やデータフロー図、多層的な制限について説明している。報告書は、この方式が一律の物理的分離方法を定めているわけではないと指摘する。

欧州については、一般データ保護規則（GDPR）、第2次決済サービス指令（PSD2）、欧州銀行監督機構（EBA）のガイダンスを検討している。報告書が紹介するガイダンスは、経営陣の責任、外部技術提供事業者への管理、アクセス権の制限、アクセス管理策の定期的な監視と検証を求めている。

オーストラリアの比較では、オーストラリア健全性規制庁（APRA）のガイダンスとオーストラリア・サイバーセキュリティセンターの助言を参照している。これらの方式は、セグメンテーションを複数ある安全対策の一つと位置づける。また、攻撃者が外周の防御を突破した後も、社内ネットワーク全体を一様に信頼できるとみなすべきではないと警告している。

報告書は、2022年の調査で回答した銀行の82％が、メインフレームの少なくとも半分をクラウドへ移行済み、または移行を計画していたことも紹介している。別の2023年の調査では、世界の金融企業の66％が、成長とイノベーションを目的にクラウド移行を進めていた。これらは異なる調査指標であり、年を追って導入が減少していることを示すものではない。

この比較が韓国の検査に示す具体的な教訓は、ネットワーク設計の自由度を高めるには、アクセス制限と検証が実際に機能する必要があるということだ。報告書は、段階的な改革、標準化されたデータ分類、事故に対する説明責任の強化、セキュリティ投資、是正措置を伴う定期的な監督検査を提言している。

別のSaaS例外措置でもデータ制限を維持

別の規制緩和措置では、金融企業や電子金融サービス事業者が、金融規制サンドボックスに申請せずに一部の業務用SaaSツールを利用できる。この制度は、検査対象の10社に認められたAIセキュリティ検査向けの一時的な例外措置とは区別する必要がある。

この例外措置は、「クラウドコンピューティングの発展及び利用者保護に関する法律」の施行令で指定されたSaaSを対象とし、「電子金融取引法」および関連する監督規則のネットワーク分離要件に関わる。

個人識別情報や個人信用情報を扱う業務は対象外となる。仮名処理された個人データを含むSaaSの利用には、引き続きサンドボックスの承認が必要だ。仮名処理とは、識別情報を別の情報に置き換えることだが、必ずしも情報を匿名化するものではない。

申請は金融保安院の審査を受けなければならない。企業はアクセス装置に関する安全対策を維持し、6カ月ごとにコンプライアンス管理策を点検して、その結果をCISOに報告する必要がある。同院は、金融技術のセキュリティ、SaaSのリスク、対策を説明する冊子も発行した。

この二つの制度を合わせて見ると、規制緩和は無条件ではなく、条件付きであることが分かる。一時的な検査制度では接続前に代替策を整える必要があり、業務用SaaSの制度でも、データに関する除外規定、事前審査、定期点検が維持されている。

現時点で未解決なのは、どの企業にどの検査不備があったのか、弱点がどのように生じたのか、そして延期された選定がいつ再開されるのかだ。是正措置が接続前に完了したという同院の確認が、事案について示された最も明確な限定条件となっている。より広い課題は、検査官に促されて初めて実施する計画を作るのではなく、検査後も機能する対策を維持できるかどうかだ。

要点

• 金融企業10社は6月19日、AIやセキュリティSaaSの検査利用を目的に、ネットワーク分離規則の一時的な例外措置を認められた。
• 7月中旬から9月上旬の検査で、義務付けられた安全対策の多くが計画段階にとどまっていることが判明した。
• 一部のセキュリティ管理コンソールがインターネットからアクセス可能で、セキュリティ認証を受けていないクラウドサービスもあった。
• 金融保安院によると、社内ネットワークと外部ネットワークの接続前に不備はすべて是正された。
• 別の侵害事案やデータ流出を受け、最大15機関を選ぶ10月7日の選定は延期された。
• 計画されていた制度拡大では、申請資格を持つ企業が49社から75社に増える予定だった。
• 別途設けられた業務用SaaSの例外措置では、個人データの制限、金融保安院の審査、6カ月ごとの安全点検が維持される。