Mười công ty tài chính Hàn Quốc không đạt kiểm tra an ninh trước khi kết nối mạng theo diện miễn trừ AI

Các cuộc kiểm tra cho thấy biện pháp bảo vệ chủ yếu chỉ tồn tại trên giấy

Mười công ty tài chính Hàn Quốc được cấp phép tạm thời kết nối mạng nghiệp vụ nội bộ với các dịch vụ internet bên ngoài đã không đưa nhiều biện pháp bảo vệ an ninh bắt buộc vào vận hành, theo kết quả các cuộc kiểm tra tiến hành từ giữa tháng 7 đến đầu tháng 9. Những thiếu sót gồm các bảng điều khiển quản lý an ninh có thể truy cập từ internet và một dịch vụ đám mây chưa được chứng nhận an ninh.

Viện An ninh Tài chính đã rà soát 12 biện pháp kiểm soát thay thế sau khi Ủy ban Dịch vụ Tài chính cấp cho các công ty ngoại lệ có thời hạn một năm vào ngày 19 tháng 6. Giấy phép này nhằm cho phép họ sử dụng các dịch vụ trí tuệ nhân tạo và phần mềm an ninh bên ngoài để phát hiện lỗ hổng trong hệ thống nội bộ.

Viện cho biết mọi thiếu sót đã được khắc phục trước khi kết nối mạng nội bộ với mạng bên ngoài. Điểm khác biệt này rất quan trọng: các phát hiện cho thấy khâu chuẩn bị cho những ngoại lệ còn thiếu sót, nhưng không chứng minh tin tặc đã xâm nhập hệ thống nội bộ thông qua các kết nối được chương trình cho phép.

Tài liệu kiểm tra do nghị sĩ Han Chang-min thuộc Đảng Dân chủ Xã hội, thành viên Ủy ban Chính sách Quốc gia của Quốc hội, thu thập. Tài liệu cho thấy nhiều biện pháp bảo vệ vẫn chỉ ở giai đoạn lập kế hoạch và các công ty chưa xác minh liệu biện pháp kiểm soát có hoạt động trong môi trường vận hành thực tế của họ hay không.

Các phát hiện được công bố trong bối cảnh cơ quan quản lý hoãn đợt miễn trừ thứ hai, dự kiến chọn tối đa 15 tổ chức. Giới chức cho biết việc hoãn lại là do cần tập trung nguồn lực hành chính xử lý một làn sóng vi phạm và rò rỉ dữ liệu riêng biệt, chứ không phải tuyên bố chấm dứt chính sách nới lỏng quy định phân tách mạng.

Những công ty nào đã được kiểm tra?

Nhóm đầu tiên gồm bốn ngân hàng, ba công ty chứng khoán, hai công ty bảo hiểm và một công ty thẻ. Các ngân hàng là Shinhan Bank, Hana Bank, Woori Bank và KakaoBank. Các công ty chứng khoán là KB Securities, NH Investment & Securities và Mirae Asset Securities. Samsung Fire & Marine Insurance, Hanwha Life và Hyundai Card hoàn tất danh sách.

Cả mười công ty đều được kiểm tra về các biện pháp kiểm soát thay thế theo yêu cầu của diện miễn trừ. Viện không tiết lộ công ty nào gặp thiếu sót nào, cũng không công bố chi tiết từng hạng mục kiểm soát không đạt, với lý do thông tin như vậy có thể giúp kẻ tấn công xác định mục tiêu.

Do đó, phát hiện một số bảng điều khiển dành cho quản trị viên có thể truy cập từ internet bên ngoài không thể quy cho bất kỳ đơn vị tham gia nào được nêu tên. Điều tương tự cũng áp dụng với dịch vụ đám mây chưa được chứng nhận. Danh sách các công ty được kiểm tra xác định phạm vi rà soát, chứ không quy trách nhiệm cho từng điểm yếu cụ thể.

Viện báo cáo kết quả cho Ủy ban Dịch vụ Tài chính và cho biết đã xác nhận các thiếu sót được khắc phục trước khi tiến hành kết nối mạng. Báo cáo kiểm tra không ghi nhận thiệt hại của khách hàng, vụ xâm nhập thành công hay rò rỉ dữ liệu nào do những thiếu sót cụ thể này gây ra.

Yêu cầu của giấy phép tạm thời

Nhìn chung, các công ty tài chính phải tách hệ thống nghiệp vụ nội bộ và hệ thống xử lý thông tin tại trung tâm dữ liệu khỏi các mạng liên lạc bên ngoài, trong đó có internet. Biện pháp ngày 19 tháng 6 tạm thời nới lỏng ranh giới này vì một mục đích cụ thể: sử dụng dịch vụ AI và phần mềm an ninh bên ngoài theo hình thức phần mềm dưới dạng dịch vụ để kiểm tra lỗ hổng trong hệ thống nội bộ.

Phần mềm dưới dạng dịch vụ, hay SaaS, là phần mềm được truy cập thông qua hạ tầng trực tuyến của nhà cung cấp, thay vì được cài đặt và vận hành hoàn toàn trong hệ thống riêng của công ty. Việc dùng dịch vụ này để kiểm tra công nghệ nội bộ có thể đòi hỏi một kết nối được kiểm soát băng qua ranh giới vốn bị các quy định phân tách mạng hạn chế.

Vì vậy, ngoại lệ này đi kèm điều kiện. Các công ty phải thiết lập và triển khai 12 biện pháp kiểm soát thay thế, trong đó có quy trình ứng phó sự cố an ninh và gián đoạn liên quan đến dịch vụ AI hoặc SaaS. Họ cũng phải ngăn việc chia sẻ hoặc xử lý dữ liệu không cần thiết trong các dịch vụ đó.

Các điều kiện này không chỉ đề cập đến khả năng kết nối an toàn. Chúng còn bao gồm cách xử lý khi nhà cung cấp bên ngoài ngừng hoạt động và cách quản lý thông tin sau khi dịch vụ bên ngoài trở thành một phần trong hoạt động an ninh của công ty. Một kế hoạch ứng phó bằng văn bản có thể đáp ứng yêu cầu lập kế hoạch mà chưa chứng minh được rằng nhân viên, hệ thống và các hạn chế truy cập đã sẵn sàng triển khai kế hoạch.

Vì sao các bảng điều khiển quản trị bị lộ lại đáng lo ngại?

Các cuộc kiểm tra phát hiện tình trạng phổ biến là không xác minh biện pháp kiểm soát trong môi trường mà chúng thực sự sẽ vận hành. Một số công ty còn để các hệ thống quản trị an ninh, gọi là bảng điều khiển quản lý, có thể truy cập từ internet. Đây là các giao diện dùng để quản lý công cụ an ninh, nên việc hạn chế truy cập đặc biệt quan trọng.

Việc có thể truy cập từ internet tự nó không chứng minh kẻ tấn công đã vượt qua cơ chế xác thực hoặc giành quyền kiểm soát. Tuy nhiên, điều đó tạo ra một lối tiếp cận từ bên ngoài đến giao diện quản trị nhạy cảm. Thông tin kiểm tra được công bố không nêu rõ cơ chế xác thực, thời gian hệ thống bị lộ hay số tổ chức bị ảnh hưởng.

Yeom Heung-yeol, giáo sư Khoa An ninh Thông tin tại Đại học Soonchunhyang, cảnh báo các biện pháp bảo vệ có thể chưa hoạt động đầy đủ trước khi hoàn tất khắc phục. Ông đặc biệt nhấn mạnh thiếu sót nghiêm trọng liên quan đến quyền truy cập hệ thống quản lý an ninh:

Không hạn chế truy cập từ bên ngoài vào hệ thống quản trị an ninh là một vấn đề rất nghiêm trọng.

Báo cáo của viện cho biết việc khắc phục diễn ra trước khi các kết nối được cấp phép. Điều này giới hạn những gì có thể kết luận về mức độ phơi nhiễm thực tế của mạng nội bộ, nhưng vẫn để lại quan ngại đáng kể về tuân thủ: các biện pháp kiểm soát vốn là cơ sở để biện minh cho ngoại lệ chưa được triển khai đầy đủ khi đoàn kiểm tra rà soát.

Đợt thứ hai tạm hoãn giữa lúc xảy ra các vụ vi phạm riêng biệt

Ủy ban Dịch vụ Tài chính dự kiến chọn nhóm tổ chức tiếp theo vào ngày 7 tháng 10. Việc hoãn được đưa tin ngày 6 tháng 10; giới chức cho biết cần tập trung nguồn lực vào các vụ tin tặc và rò rỉ dữ liệu gần đây, đồng thời theo dõi tình hình trước khi mở rộng chương trình.

Từ ngày 27 tháng 9, các sự cố được báo cáo tại một số tổ chức, gồm KB Kookmin Bank, Shinhan Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank và Hyundai Capital. Các thông tin này không chứng minh những sự cố đó bắt nguồn từ các ngoại lệ tạm thời đối với quy định phân tách mạng.

Shinhan Bank và Hana Bank vừa nằm trong nhóm được kiểm tra, vừa có tên trong danh sách các tổ chức ghi nhận sự cố. Sự trùng lặp này không phải bằng chứng về mối liên hệ nhân quả. Cần phân biệt đợt rà soát an ninh với việc ứng phó các vụ vi phạm trên diện rộng, trừ khi có kết quả điều tra bổ sung xác lập mối liên hệ giữa chúng.

Các mốc thời gian chính cho thấy trình tự cấp phép, kiểm tra và hoãn mở rộng:

• Ngày 19 tháng 6: Ủy ban cấp ngoại lệ tạm thời cho mười công ty sử dụng dịch vụ AI và SaaS an ninh bên ngoài.
• Từ giữa tháng 7 đến đầu tháng 9: Viện An ninh Tài chính kiểm tra các công ty và yêu cầu khắc phục trước khi tiến hành kết nối mạng.
• Ngày 14 tháng 9: Dự kiến kết thúc thời hạn nộp hồ sơ cho đợt thứ hai.
• Từ ngày 27 tháng 9: Một loạt vụ vi phạm và rò rỉ dữ liệu trong lĩnh vực tài chính được báo cáo.
• Ngày 6 tháng 10: Thông tin về việc hoãn đợt tuyển chọn dự kiến vào ngày 7 tháng 10 được công bố.

Giới chức cho biết việc trì hoãn không làm thay đổi quan điểm nới lỏng quy định đối với các công ty có năng lực ứng phó phù hợp. Chưa có ngày tuyển chọn thay thế.

Đợt mở rộng sẽ bao gồm các tổ chức nhỏ hơn

Đợt thứ hai dự kiến mở rộng đối tượng đủ điều kiện, vượt ra ngoài các công ty tài chính lớn nhất để bao gồm thêm các tổ chức ngoài lĩnh vực ngân hàng và nhà cung cấp dịch vụ tài chính điện tử. Các biện pháp chi tiết được xác nhận sau cuộc họp lần thứ năm của Lực lượng Đặc nhiệm Ứng phó Tình hình AI tiên phong thuộc Ủy ban Dịch vụ Tài chính, với sự tham gia của Cơ quan Giám sát Tài chính và Viện An ninh Tài chính.

Số công ty đủ điều kiện nộp đơn dự kiến tăng từ 49 lên 75, tức tăng 26 công ty, tương đương khoảng 53%. Số suất có thể được cấp tăng từ 10 lên tối đa 15, tức tăng 50%. Đây là các con số về điều kiện tham gia và quy mô tuyển chọn dự kiến, không phải số hồ sơ thực tế đã nhận.

Đối với các công ty tài chính, ngưỡng tài sản tối thiểu sẽ giảm từ 10 nghìn tỷ won xuống 2 nghìn tỷ won, trong khi ngưỡng nhân sự giảm từ 1.000 xuống 300 lao động thường xuyên. Các nhà cung cấp dịch vụ tài chính điện tử cần có giá trị giao dịch tài chính điện tử hằng năm ít nhất 2 nghìn tỷ won và doanh thu liên quan chiếm hơn 10% tổng doanh thu.

Ở cả hai nhóm, giám đốc an ninh thông tin không được đồng thời đảm nhiệm các chức năng công nghệ thông tin khác. Các công ty được chọn sẽ nhận văn bản không áp dụng biện pháp cưỡng chế đối với quy định phân tách mạng trong một năm, sau khi triển khai các biện pháp kiểm soát thay thế.

Các phát hiện từ cuộc kiểm tra cho thấy năng lực triển khai sẽ là yếu tố then chốt trong đợt mở rộng này. Hạ ngưỡng quy mô sẽ mở rộng cơ hội tham gia cho nhiều công ty hơn, nhưng không loại bỏ yêu cầu chứng minh các biện pháp bảo vệ hoạt động hiệu quả. Cơ quan quản lý cũng dự định xem xét các đợt tiếp theo và khuôn khổ lâu dài dựa trên tiến độ thử nghiệm và nhu cầu; việc hoãn lại chưa đưa ra quyết định cuối cùng về những vấn đề này.

Vì sao Hàn Quốc đang xem xét lại việc phân tách vật lý

Viện Nghiên cứu Thị trường Vốn Hàn Quốc ghi nhận những mâu thuẫn trong chính sách này tại báo cáo về phân tách mạng, báo cáo chuyên đề số 24-26, do nhà nghiên cứu Hwang Se-woon công bố ngày 22 tháng 11 năm 2024. Báo cáo xem xét lợi ích an ninh và chi phí vận hành của cách tiếp cận tại Hàn Quốc, đồng thời đề cập việc sử dụng ngày càng nhiều phần mềm đám mây và AI tạo sinh.

Báo cáo truy nguyên nguồn gốc chính sách từ sự cố gián đoạn hoạt động ngân hàng ngày 20 tháng 3 năm 2013, khi mã độc ngụy trang thành các bản vá lan truyền qua máy chủ cập nhật phần mềm diệt virus. Báo cáo cho biết giới chức công bố các biện pháp an ninh tài chính toàn diện vào tháng 7 năm 2013 và việc phân tách mạng chính thức được đưa vào quy định năm 2015.

Quy mô tài chính số giúp lý giải phản ứng này. Theo báo cáo, giao dịch điện tử đã chiếm 87,7% tổng số giao dịch tài chính trong năm 2013, trong khi giá trị giao dịch ngân hàng qua internet và di động trung bình mỗi ngày vượt 33 nghìn tỷ won.

Phân tách vật lý sử dụng thiết bị hoặc hạ tầng riêng biệt để tách hoạt động internet khỏi công việc nội bộ. Phân tách logic sử dụng công nghệ như ảo hóa để duy trì các môi trường riêng biệt trên hạ tầng vật lý dùng chung. Phân đoạn mạng chia hệ thống thành các vùng và kiểm soát luồng lưu lượng giữa các vùng, thay vì nhất thiết cấm mọi kết nối.

Báo cáo của Hwang nêu bật một mâu thuẫn thực tế: nhiều phần mềm hiện đại, trong đó có AI tạo sinh, được cung cấp qua dịch vụ đám mây bên ngoài, trong khi dữ liệu tài chính quan trọng nằm trên các mạng nội bộ được bảo vệ. Báo cáo mô tả việc phân tách nghiêm ngặt có thể cản trở nghiên cứu, phát triển phần mềm và sử dụng thường nhật các phần mềm thuê bao, ngay cả khi những công cụ đó có thể giúp giảm chi phí hoặc cải thiện quy trình làm việc.

So sánh quốc tế nghiêng về các kết nối được kiểm soát

Báo cáo của Viện Nghiên cứu Thị trường Vốn Hàn Quốc so sánh cách tiếp cận tại Mỹ, châu Âu và Australia. Điểm khác biệt cốt lõi nằm giữa việc quy định phải ngắt kết nối vật lý và việc cho phép các tổ chức tự lựa chọn thiết kế an ninh, đồng thời buộc họ chịu trách nhiệm bảo vệ thông tin.

Tại Mỹ, sổ tay an ninh thông tin của Hội đồng Kiểm tra các Định chế Tài chính Liên bang mô tả các vùng mạng đáng tin cậy và không đáng tin cậy, biện pháp kiểm soát giữa các vùng, sơ đồ chính xác về mạng và luồng dữ liệu, cùng các lớp hạn chế. Báo cáo nhận định cách tiếp cận này không quy định một phương thức phân tách vật lý duy nhất áp dụng cho tất cả.

Đối với châu Âu, báo cáo xem xét Quy định chung về bảo vệ dữ liệu, Chỉ thị dịch vụ thanh toán lần thứ hai và hướng dẫn của Cơ quan Ngân hàng châu Âu. Hướng dẫn được đề cập yêu cầu trách nhiệm quản lý, biện pháp kiểm soát đối với nhà cung cấp công nghệ bên ngoài, giới hạn quyền truy cập, cùng việc giám sát và kiểm tra định kỳ các biện pháp kiểm soát truy cập.

Phần so sánh với Australia dựa trên hướng dẫn của Cơ quan Quản lý Thận trọng Australia và khuyến nghị của Trung tâm An ninh mạng Australia. Các cách tiếp cận này xem phân đoạn mạng là một trong nhiều công cụ an ninh, đồng thời cảnh báo không nên coi toàn bộ mạng nội bộ là đáng tin cậy đồng đều một khi kẻ tấn công vượt qua ranh giới bên ngoài.

Báo cáo cũng dẫn các khảo sát cho thấy năm 2022, 82% ngân hàng được khảo sát đã chuyển hoặc dự định chuyển ít nhất một nửa hệ thống máy tính lớn sang đám mây. Một khảo sát riêng năm 2023 cho thấy 66% công ty tài chính toàn cầu đang thúc đẩy chuyển đổi lên đám mây để tăng trưởng và đổi mới. Đây là các thước đo khác nhau từ những cuộc khảo sát riêng, không phải xu hướng cho thấy mức độ áp dụng giảm qua các năm.

So sánh này đưa ra một bài học cụ thể cho các cuộc kiểm tra tại Hàn Quốc: quyền lựa chọn thiết kế mạng rộng hơn phụ thuộc vào việc các hạn chế truy cập và hoạt động kiểm thử có thực sự hiệu quả hay không. Báo cáo khuyến nghị cải cách từng bước, chuẩn hóa phân loại dữ liệu, tăng trách nhiệm giải trình khi xảy ra sự cố, đầu tư an ninh và thường xuyên thanh tra, yêu cầu khắc phục.

Một ngoại lệ SaaS riêng vẫn duy trì hạn chế về dữ liệu

Một biện pháp nới lỏng riêng cho phép các công ty tài chính và nhà cung cấp dịch vụ tài chính điện tử sử dụng một số công cụ SaaS hành chính mà không cần tham gia cơ chế thử nghiệm có kiểm soát về quy định tài chính. Không nên nhầm cơ chế này với các ngoại lệ tạm thời về kiểm thử an ninh AI cấp cho mười công ty được kiểm tra.

Diện miễn trừ áp dụng cho các dịch vụ SaaS được quy định trong Nghị định thi hành Luật Phát triển Điện toán Đám mây và Bảo vệ Người sử dụng dịch vụ, liên quan đến yêu cầu phân tách mạng theo Luật Giao dịch Tài chính Điện tử và các quy định giám sát liên quan.

Miễn trừ không áp dụng cho hoạt động liên quan đến thông tin nhận dạng cá nhân hoặc thông tin tín dụng cá nhân. Việc sử dụng SaaS có dữ liệu cá nhân đã được giả danh hóa vẫn cần được phê duyệt trong cơ chế thử nghiệm có kiểm soát. Giả danh hóa thay thế các chi tiết nhận dạng bằng thông tin khác, nhưng không nhất thiết khiến dữ liệu trở nên ẩn danh.

Đơn đăng ký phải được Viện An ninh Tài chính thẩm định. Các công ty phải duy trì biện pháp bảo mật cho thiết bị truy cập, rà soát biện pháp kiểm soát tuân thủ mỗi sáu tháng và báo cáo kết quả cho giám đốc an ninh thông tin. Viện cũng đã xuất bản một cuốn cẩm nang giải thích về an ninh công nghệ tài chính, rủi ro SaaS và các biện pháp xử lý.

Xét tổng thể, hai cơ chế cho thấy việc nới lỏng quy định đi kèm điều kiện chứ không phải không hạn chế. Chương trình thử nghiệm tạm thời đòi hỏi có biện pháp kiểm soát thay thế trước khi kết nối; cơ chế SaaS hành chính vẫn duy trì các ngoại lệ về dữ liệu, khâu thẩm định trước và việc rà soát định kỳ.

Những vấn đề trước mắt chưa được giải đáp gồm công ty nào gặp từng thiếu sót trong đợt kiểm tra, các điểm yếu đó hình thành như thế nào và khi nào đợt tuyển chọn bị hoãn sẽ được nối lại. Việc viện xác nhận các thiếu sót được khắc phục trước khi kết nối là giới hạn rõ ràng nhất được nêu ra đối với sự cố. Phép thử rộng hơn là liệu các công ty có thể duy trì biện pháp kiểm soát hiệu quả sau khi bị kiểm tra hay không, thay vì chỉ đưa ra kế hoạch và chờ thanh tra thúc giục mới triển khai.

Điểm chính

• Mười công ty tài chính được cấp ngoại lệ tạm thời đối với quy định phân tách mạng ngày 19 tháng 6 để thử nghiệm dịch vụ AI và SaaS an ninh.
• Các cuộc kiểm tra từ giữa tháng 7 đến đầu tháng 9 phát hiện nhiều biện pháp bảo vệ bắt buộc vẫn chỉ ở giai đoạn lập kế hoạch.
• Một số bảng điều khiển quản lý an ninh có thể truy cập từ internet, còn một dịch vụ đám mây chưa có chứng nhận an ninh.
• Viện An ninh Tài chính cho biết mọi thiếu sót đã được khắc phục trước khi kết nối mạng nội bộ với mạng bên ngoài.
• Đợt tuyển chọn ngày 7 tháng 10, dự kiến chọn thêm tối đa 15 tổ chức, bị hoãn giữa lúc xảy ra các vụ vi phạm và rò rỉ dữ liệu riêng biệt.
• Đợt mở rộng dự kiến tăng số công ty đủ điều kiện nộp đơn từ 49 lên 75.
• Một ngoại lệ SaaS hành chính riêng vẫn hạn chế việc xử lý dữ liệu cá nhân, yêu cầu viện thẩm định và rà soát an ninh sáu tháng một lần.