检查发现，保障措施大多停留在纸面上
韩国10家获得临时许可、可将内部业务网络连接至外部互联网服务的金融公司，未能落实许多规定的安全保障措施。7月中旬至9月初开展的检查发现，问题包括可从互联网访问的安全管理控制台，以及未经安全认证的云服务。
目录
金融安全院在金融委员会6月19日批准这些公司为期一年的例外许可后，对12项替代安全措施进行了审查。该许可旨在让这些公司使用外部人工智能和安全软件，识别内部系统中的漏洞。
金融安全院表示，所有问题均在内部与外部网络连接前完成整改。这一点很重要：检查结果显示，企业在申请豁免前准备不足，但并不能证明黑客通过该计划授权的连接进入了内部系统。
这些检查材料由共同民主党籍国会议员、国会政务委员会委员韩昌敏（Han Chang-min）获取。材料显示，许多保障措施仍处于规划阶段，企业也未验证相关控制措施能否在自身运营环境中发挥作用。
监管机构推迟第二轮豁免遴选之际，这些检查结果曝光。第二轮原计划遴选最多15家机构。监管部门称，推迟是因为需要集中行政资源应对另一波违规入侵和数据泄露事件，并未宣布结束放宽网络隔离规则的政策。
哪些公司接受了检查？
首批参与机构包括4家银行、3家证券公司、2家保险公司和1家信用卡公司。银行为新韩银行、韩亚银行、友利银行和KakaoBank。证券公司为KB证券、NH投资证券和未来资产证券。三星火灾海上保险、韩华生命保险和现代信用卡也在其中。
这10家公司均接受了针对豁免所要求的替代控制措施的检查。金融安全院没有披露各公司分别存在哪些问题，也未公布未通过检查的控制项目具体分布情况，理由是此类信息可能帮助攻击者识别目标。
因此，检查发现部分管理员控制台可从外部互联网访问，但无法将这一问题归于任何一家具体企业。未经认证的云服务也是如此。列出受检企业是为了说明审查范围，并不代表这些企业分别要对哪些具体弱点负责。
金融安全院向金融委员会报告了检查结果，并表示已确认企业在网络连接前完成整改。检查报告未指出这些具体问题导致客户损失、成功入侵或数据泄露。
临时许可要求什么？
金融公司通常必须将数据中心内的内部业务系统和信息处理系统，与包括互联网在内的外部通信网络隔离。6月19日出台的措施为特定用途临时放宽了这一限制：使用外部人工智能和安全软件即服务，检查内部系统是否存在漏洞。
软件即服务（SaaS）是指通过服务提供商的在线基础设施访问软件，而不是完全在公司自身系统内安装和运行软件。使用此类服务检查内部技术，可能需要在网络边界之间建立受控连接，而网络隔离规则原本会限制这种连接。
因此，这项例外许可附带条件。企业必须建立并落实12项替代控制措施，包括制定人工智能或SaaS服务发生安全事件和服务中断时的应对流程。企业还必须防止在这些服务中进行不必要的数据共享或处理。
这些条件不仅涉及如何安全连接，也涵盖外部服务提供商停止运作时该如何应对，以及外部服务成为企业安全运营的一部分后如何处理信息。书面的应对计划或许能满足规划要求，却无法证明员工、系统和访问限制已准备就绪，能够按计划执行。
暴露在互联网上的管理员控制台为何重要
检查发现，一些企业未能核实控制措施能否在实际运行环境中发挥作用。部分企业还让被称为管理控制台的安全管理员系统可从互联网访问。这些界面用于管理安全工具，因此尤其需要严格限制访问权限。
能够从互联网访问，并不能单独证明攻击者绕过了身份验证或取得了控制权。但这确实为外部人员访问敏感管理界面提供了一条途径。检查披露的信息没有说明身份验证安排、暴露持续时间或受影响机构数量。
顺天乡大学信息安全系教授廉兴烈（Yeom Heung-yeol）警告称，在整改完成之前，这些保障措施可能并未充分发挥作用。他特别指出，安全管理系统的访问权限问题尤其严重：
未能限制外部人员访问安全管理员系统，是一个非常严重的问题。
据金融安全院介绍，整改工作在获准连接网络之前完成。这限制了人们对内部网络实际暴露情况所能作出的判断，但仍然留下重大的合规隐忧：检查时，用于证明企业符合豁免条件的控制措施尚未完全落实。
第二轮遴选因另一起违规事件暂停
金融委员会原计划于10月7日遴选下一批机构。有关推迟的消息于10月6日公布，监管部门称需要集中资源应对近期黑客攻击和数据泄露事件，并在扩大计划前观察事态发展。
自9月27日起，包括KB国民银行、新韩银行、韩亚银行、BNK釜山银行、睿加蓝储蓄银行、Welcome储蓄银行和现代资本在内的机构陆续报告发生事件。这些报道并不能证明相关事件是临时网络隔离豁免所致。
新韩银行和韩亚银行既在受检企业名单中，也在报告发生相关事件的机构名单中。两份名单存在交集，并不构成因果关系的证据。除非有进一步调查结果将两者联系起来，否则应将安全审查与范围更广的违规事件应对工作区分开来。
关键日期呈现出许可、检查和推迟扩大计划的先后顺序：
- 6月19日：金融委员会批准10家企业临时豁免，允许其使用外部人工智能和安全SaaS。
- 7月中旬至9月初：金融安全院检查这些企业，并要求其在网络连接前完成整改。
- 9月14日：原定第二轮申请截止。
- 9月27日起：金融行业陆续报告发生一系列违规入侵和数据泄露事件。
- 10月6日：有关推迟原定于10月7日进行的遴选的消息公布。
监管部门表示，推迟并未改变其立场：对于具备充分应对能力的企业，仍将放宽相关规定。但尚未公布新的遴选日期。
扩大计划将惠及规模较小的机构
原定的第二轮计划将扩大符合条件的范围，使银行业以外的更多机构以及电子金融服务提供商也能参与。金融委员会前沿人工智能形势应对工作组第五次会议后，相关具体措施得到确认。该工作组由金融监督院和金融安全院参与组成。
符合条件的申请企业将从49家增至75家，增加26家，增幅约为53%。可获选名额将从10家增至最多15家，增幅为50%。这些数字反映的是符合资格的企业数量和计划遴选名额，并非实际收到的申请数量。
金融公司的最低资产门槛将从10万亿韩元降至2万亿韩元，员工人数门槛将从1000名降至300名正式员工。电子金融服务提供商的年度电子金融交易额须至少达到2万亿韩元，相关收入还须超过总收入的10%。
两类机构的首席信息安全官均不得同时兼任其他信息技术职务。获选企业落实替代控制措施后，将获得为期一年的网络隔离规则不执法函。
检查结果表明，落实能力将成为扩大计划的关键。降低规模门槛能让更多企业参与，但并未免除证明安全措施切实有效的要求。监管部门还计划根据测试进展和需求，考虑后续遴选批次及永久性框架；此次推迟并未对这些决定作出定论。
韩国为何重新审视物理隔离
韩国资本市场研究院在2024年11月22日发布的第24-26期专题报告《网络隔离报告》中记录了这一政策面临的两难。报告由研究员黄世云（Hwang Se-woon）撰写，探讨韩国相关做法带来的安全收益和运营成本，并分析云软件及生成式人工智能日益普及的影响。
报告将这项政策的起源追溯至2013年3月20日的银行业服务中断事件。当时，伪装成补丁的恶意代码通过杀毒软件更新服务器传播。报告称，监管部门于2013年7月宣布全面的金融安全措施，网络隔离规定则于2015年正式纳入法规。
数字金融的规模有助于解释监管部门为何采取这一应对方式。报告称，2013年电子交易已占全部金融交易的87.7%，互联网和手机银行日均交易额超过33万亿韩元。
物理隔离通过使用不同设备或基础设施，将互联网活动与内部工作分开。逻辑隔离则利用虚拟化等技术，在共享的物理基础设施上维持独立环境。网络分段将系统划分为不同区域并控制区域间流量，但不一定会禁止所有连接。
黄世云的报告指出了一个实际冲突：包括生成式人工智能在内的许多现代软件都通过外部云服务提供，而重要金融数据则存放在受保护的内部网络中。报告说明，严格的隔离可能妨碍研究、软件开发和订阅软件的日常使用，即使这些工具有助于降低成本或改进工作流程。
国际比较倾向于受控连接
韩国资本市场研究院的报告比较了美国、欧洲和澳大利亚的做法。报告的核心区别在于：是规定必须进行物理断网，还是允许机构自行选择安全设计，同时要求其承担保护信息的责任。
在美国，联邦金融机构检查委员会的信息安全手册介绍了可信和不可信网络区域、区域间的控制措施、准确的网络和数据流向图，以及分层限制。报告认为，这种做法没有规定统一适用的物理隔离方式。
在欧洲，报告考察了《通用数据保护条例》、《第二号支付服务指令》及欧洲银行管理局的指导意见。报告所述指导意见要求管理层承担责任、控制外部技术服务提供商、限制访问权限，并定期监测和测试访问控制措施。
澳大利亚部分则参考了澳大利亚审慎监管局的指导意见和澳大利亚网络安全中心的建议。这些做法将网络分段视为多种安全工具之一，并提醒不要因为攻击者突破了外部边界，就将整个内部网络一概视为可信。
报告还引用调查数据称，2022年，82%的受访银行已将或计划将至少一半的主机迁移至云端。另一项2023年的调查发现，66%的全球金融企业正在推进云迁移，以促进增长和创新。这是两项不同的调查指标，并不表示云迁移的采用率逐年下降。
这项比较为韩国的检查工作提供了一个明确启示：网络设计选择越灵活，越需要确保访问限制和测试切实有效。报告建议逐步改革、统一数据分类标准、强化事件问责、加大安全投入，并定期开展监管检查和整改。
另一项SaaS豁免仍保留数据限制
另一项放宽措施允许金融公司和电子金融服务提供商使用特定行政类SaaS工具，无须进入金融监管沙盒。这项政策应与授予上述10家受检企业、用于人工智能安全测试的临时网络隔离豁免区分开来。
该豁免适用于《云计算发展及用户保护法施行令》规定的SaaS，涉及《电子金融交易法》及相关监管规定中的网络隔离要求。
该豁免不适用于涉及个人身份识别信息或个人信用信息的活动。涉及假名化个人数据的SaaS使用仍须获得沙盒批准。假名化是用替代信息取代身份识别细节，但不一定能使信息变成匿名数据。
申请必须接受金融安全院审查。企业须对访问设备落实安全控制措施，每六个月审查一次合规控制情况，并向首席信息安全官报告审查结果。金融安全院还发布了一本手册，介绍金融科技安全、SaaS风险及应对措施。
总体而言，这两种途径表明，放宽监管是有条件的，并非不受限制。临时测试计划要求在连接前落实替代控制措施；行政类SaaS豁免则保留了数据限制、事前审查和定期复核要求。
目前尚待明确的问题包括：哪些企业分别存在检查发现的问题、这些弱点是如何形成的，以及推迟的遴选何时恢复。金融安全院确认企业在连接前完成整改，这是对事件影响范围最明确的限定。更广泛的考验在于企业能否在检查后持续维持有效控制措施，而不是停留在需要检查人员督促落实的计划上。
要点
- 6月19日，10家金融企业获准临时豁免网络隔离规定，以测试人工智能和安全SaaS。
- 7月中旬至9月初的检查发现，许多规定的保障措施仍停留在规划阶段。
- 部分安全管理控制台可从互联网访问，且有云服务缺少安全认证。
- 金融安全院表示，所有问题均在内部与外部网络连接前完成整改。
- 原定于10月7日遴选最多15家机构的计划，因另一起违规入侵和数据泄露事件而推迟。
- 原计划扩大后，符合条件的申请企业数量将从49家增至75家。
- 另一项行政类SaaS豁免仍对个人数据作出限制，并要求接受金融安全院审查和每六个月一次的安全复核。
