檢查發現，防護措施多停留在紙面上
檢查人員於7月中旬至9月初進行檢查後發現，獲准暫時將內部業務網路連接至外部網路服務的10家韓國金融公司，許多規定要求的資安防護措施尚未實際落實。缺失包括可從網際網路存取的資安管理主控台，以及未取得資安認證的雲端服務。
目錄
金融保安院在金融委員會於6月19日核准這些公司為期一年的例外措施後，檢視了12項替代性資安管控措施。這項許可旨在讓業者使用外部人工智慧與資安軟體，找出內部系統的弱點。
金融保安院表示，所有缺失都在內外部網路連接前完成改善。這項區別很重要：檢查結果顯示業者對豁免措施準備不足，但並未證明駭客曾透過該計畫核准的連線進入內部系統。
檢查資料由社會民主黨籍國會議員韓昌敏取得，他是國會政務委員會成員。資料顯示，許多防護措施仍停留在規劃階段，業者也未確認相關管控措施在自身營運環境中是否有效。
監管機關延後第二輪豁免遴選之際，這些檢查結果也隨之曝光。第二輪原訂遴選最多15家機構。主管機關表示，延期是因為必須集中行政資源處理另一波資安入侵與資料外洩事件，並未宣布終止放寬網路分離規定的政策。
哪些公司接受檢查？
第一批共有4家銀行、3家證券公司、2家保險公司及1家信用卡公司。銀行包括新韓銀行、韓亞銀行、友利銀行和KakaoBank；證券公司包括KB證券、NH投資證券和未來資產證券；三星火災海上保險、韓華生命及現代信用卡則組成其餘名單。
這10家公司都接受豁免所要求的替代性管控措施檢查。金融保安院以公開相關資訊可能協助攻擊者鎖定目標為由，未透露各公司分別有哪些缺失，也未公布未通過項目的詳細分布。
因此，部分管理主控台可從外部網際網路存取這項發現，無法歸因於任何一家具名業者。未取得認證的雲端服務也是如此。列出受檢公司，是為了說明檢查範圍，不代表各家須為特定弱點負責。
金融保安院向金融委員會報告檢查結果，並表示已確認業者在網路連線前完成改善。檢查報告未指出這些特定缺失造成客戶損失、成功入侵或資料外洩。
臨時許可要求哪些措施？
金融公司一般必須將資料中心內部的業務系統與資訊處理系統，和包含網際網路在內的外部通訊網路分離。6月19日的措施則為特定用途暫時放寬這項界線，讓業者使用外部人工智慧與資安軟體即服務，檢查內部系統是否存在弱點。
軟體即服務（SaaS）是透過服務提供者的線上基礎設施存取軟體，而非完全在公司自有系統內安裝及運作。使用這類服務檢查內部科技系統，可能需要跨越網路分離規定原本限制的界線，建立受控連線。
因此，這項例外許可附有條件。業者必須建立並落實12項替代性管控措施，包括制定人工智慧或SaaS服務發生資安事件或服務中斷時的應變程序，也必須避免在這些服務中不必要地分享或處理資料。
這些條件不只關乎能否安全連線，也涵蓋外部服務提供者停止運作時該如何處理，以及外部服務納入公司資安作業後如何管理資訊。書面的應變計畫或許符合規劃要求，卻不能證明人員、系統及存取限制已準備好付諸執行。
管理主控台暴露在外為何重要？
檢查發現，業者普遍未能確認管控措施在實際運作環境中是否有效。部分公司也讓稱為管理主控台的資安管理系統可從網際網路存取。這些介面用於管理資安工具，因此限制其存取格外重要。
可從網際網路存取，本身並不能證明攻擊者繞過了身分驗證或取得控制權；但確實會形成通往敏感管理介面的外部路徑。檢查公開資訊並未說明身分驗證方式、暴露時間長短或受影響機構數量。
順天鄉大學資訊保安系教授廉興烈警告，在完成改善前，相關防護措施可能尚未充分發揮作用。他特別指出，無法限制外部存取資安管理系統是嚴重缺失：
未能限制外部存取資安管理員系統，是非常嚴重的問題。
金融保安院的說明指出，業者是在核准連線前完成改善。這限制了外界對內部網路實際暴露情況所能做出的判斷，但仍留下重大合規疑慮：檢查時，業者尚未全面落實用來作為豁免依據的管控措施。
另一波資安事件發生之際，第二輪暫緩
金融委員會原計畫於10月7日遴選下一批機構。延期消息於10月6日公布，主管機關表示，必須將資源集中處理近期駭客攻擊與資料外洩事件，並先觀察後續發展，再擴大計畫。
自9月27日起，KB國民銀行、新韓銀行、韓亞銀行、BNK釜山銀行、예가람儲蓄銀行、Welcome儲蓄銀行及現代資本等機構陸續傳出事件。現有報導並未證明這些事件是由網路分離臨時豁免所造成。
新韓銀行和韓亞銀行同時出現在受檢名單及傳出事件的機構名單中。這種重疊並不能證明兩者有因果關係。除非有進一步調查結果將兩者連結，否則應將資安檢查與更廣泛的資安事件應變分開看待。
主要日期呈現了許可、檢查與延後擴大計畫的先後順序：
- 6月19日：金融委員會核准10家業者暫時使用外部人工智慧及資安SaaS。
- 7月中旬至9月初：金融保安院檢查業者，並要求在網路連線前完成改善。
- 9月14日：原訂第二輪申請截止。
- 9月27日起：金融業陸續傳出一連串資安入侵與資料外洩事件。
- 10月6日：延後原訂10月7日進行的遴選一事對外公布。
主管機關表示，延期不會改變其對具備充分應變能力業者放寬規定的立場，但未公布新的遴選日期。
擴大計畫將涵蓋規模較小的機構
第二輪原計畫將資格從最大型金融公司擴大至更多銀行業以外的機構，以及電子金融服務業者。詳細措施在金融監督院與金融保安院參與的金融委員會「前沿人工智慧情勢應變工作小組」第五次會議後獲得確認。
符合資格的申請業者將從49家增至75家，增加26家，約成長53%。可選名額將從10家增至最多15家，增加50%。這些數字反映的是申請資格與預定遴選名額，並非實際收到的申請數。
金融公司的最低資產門檻將從10兆韓元降至2兆韓元，員工門檻則從1,000名降至300名正式員工。電子金融服務業者的年度電子金融交易金額須至少達2兆韓元，相關營收也須超過總營收的10%。
兩類業者的資訊安全長均不得同時兼任其他資訊科技職務。入選公司在落實替代性管控措施後，將獲得為期一年的網路分離規定不執法函。
檢查結果顯示，執行能力是擴大計畫的關鍵。降低規模門檻可讓更多業者參與，但不代表可以免除證明防護措施有效運作的責任。監管機關原也計畫依據測試進度與需求，評估後續輪次及建立常設制度；此次延期並未敲定這些決策。
韓國為何重新檢討實體隔離
韓國資本市場研究院的網路分離報告記錄了這項政策面臨的兩難。該報告為第24-26號議題報告，由研究員黃世雲於2024年11月22日發布，檢視韓國網路分離作法的資安效益與營運成本，以及雲端軟體和生成式人工智慧的日益普及。
報告追溯這項政策的起源：2013年3月20日，偽裝成修補程式的惡意程式透過防毒軟體更新伺服器擴散，造成銀行業務中斷。報告指出，主管機關於2013年7月公布全面金融資安措施，網路分離則於2015年正式納入法規。
數位金融的規模有助於理解當時的政策反應。報告指出，2013年電子交易已占所有金融交易的87.7%，網路與行動銀行每日平均交易金額則超過33兆韓元。
實體隔離使用不同設備或基礎設施，將網際網路活動與內部工作分開。邏輯隔離則運用虛擬化等技術，在共用的實體基礎設施上維持不同環境。網路分段會將系統劃分為不同區域並管制區域間的流量，不一定完全禁止所有連線。
黃世雲的報告指出一項實務上的衝突：包括生成式人工智慧在內，許多現代軟體透過外部雲端服務提供，但重要金融資料卻存放在受保護的內部網路。報告說明，嚴格的隔離措施可能妨礙研究、軟體開發及日常使用訂閱制軟體，即使這些工具有助降低成本或改善工作流程也不例外。
國際比較傾向採取受控連線
韓國資本市場研究院的報告比較美國、歐洲和澳洲的做法。核心差異在於：是明文要求實體斷線，還是讓機構自行選擇資安設計，同時要求其負起保護資訊的責任。
談及美國時，報告檢視了聯邦金融機構檢查委員會的資訊安全手冊。手冊說明可信與不可信網路區域、區域間的管控措施、準確的網路與資料流向圖，以及多層防護限制。報告認為，這種做法並未規定所有機構都採用同一種實體隔離方式。
對於歐洲，報告檢視《一般資料保護規則》、《第二號支付服務指令》及歐洲銀行管理局的指引。報告所述指引要求管理階層負責、管控外部科技服務提供者、限制存取權限，並定期監控及測試存取管控措施。
澳洲部分則參考澳洲審慎監管局指引及澳洲網路安全中心建議。這些作法將網路分段視為多種資安工具之一，並提醒業者，不應因攻擊者越過外部邊界，就把整個內部網路都視為同等可信。
報告也引用調查指出，2022年受訪銀行中有82%已將或計畫將至少一半的大型主機移轉至雲端。另一項2023年調查發現，全球金融公司有66%為促進成長與創新而推動雲端移轉。這是兩項不同的調查數據，並不能據此認定雲端採用率逐年下滑。
這項比較為韓國檢查結果帶來一項明確啟示：網路設計選擇越多，越仰賴存取限制與測試措施確實有效。報告建議逐步改革、建立標準化資料分類制度、強化資安事件問責、增加資安投資，並定期進行監理檢查及要求改善。
另一項SaaS豁免仍保留資料限制
另一項放寬措施允許金融公司與電子金融服務業者使用特定行政管理SaaS工具，無須進入金融監理沙盒。這項措施不應與核准10家受檢業者使用人工智慧進行資安測試的臨時豁免混為一談。
這項豁免涵蓋《雲端運算發展及用戶保護法施行令》所列的SaaS，涉及《電子金融交易法》及相關監理規定中的網路分離要求。
豁免不適用於涉及個人識別資訊或個人信用資訊的作業。使用涉及假名化個人資料的SaaS，仍須取得沙盒核准。假名化是以替代資料取代可識別個人的資訊，但不代表資料必然已匿名化。
申請須由金融保安院審查。業者必須維持存取裝置的資安管控，每六個月檢視一次合規管控措施，並向資訊安全長報告結果。金融保安院也出版手冊，說明金融科技資安、SaaS風險及因應措施。
整體而言，這兩種途徑都顯示，監管放寬並非毫無限制。臨時測試計畫要求連線前先建立替代性管控措施；行政管理SaaS途徑則保留資料限制、事前審查及定期檢視要求。
目前仍待釐清的問題包括：哪些業者分別出現哪些檢查缺失、弱點如何形成，以及延後的遴選何時恢復。金融保安院確認業者在連線前已完成改善，是目前對事件影響範圍最明確的說明。更大的考驗在於業者能否在檢查後持續維持有效管控，而不是只提出計畫，等檢查人員催促才開始落實。
重點整理
- 10家金融業者於6月19日獲准暫時豁免網路分離規定，以測試人工智慧及資安SaaS。
- 7月中旬至9月初的檢查發現，許多規定要求的防護措施仍停留在規劃階段。
- 部分資安管理主控台可從網際網路存取，另有雲端服務未取得資安認證。
- 金融保安院表示，所有缺失都在內外部網路連接前完成改善。
- 原訂10月7日遴選最多15家機構的計畫，因另有資安入侵與資料外洩事件而延期。
- 擴大計畫將使符合資格的申請業者從49家增至75家。
- 另一項行政管理SaaS豁免仍限制個人資料使用，並要求金融保安院審查及每六個月進行資安檢視。
