Sepuluh Perusahaan Keuangan Korea Gagal dalam Pemeriksaan Keamanan Sebelum Menghubungkan Jaringan Berdasarkan Pengecualian AI

Inspeksi menemukan perlindungan keamanan sebagian besar hanya ada di atas kertas

Sepuluh perusahaan keuangan Korea Selatan yang mendapat izin sementara untuk menghubungkan jaringan bisnis internal dengan layanan internet eksternal belum menerapkan banyak perlindungan keamanan yang diwajibkan, menurut inspeksi yang dilakukan dari pertengahan Juli hingga awal September. Kekurangan tersebut mencakup konsol manajemen keamanan yang dapat diakses melalui internet dan layanan cloud tanpa sertifikasi keamanan.

Financial Security Institute meninjau 12 kontrol keamanan alternatif setelah Financial Services Commission memberikan pengecualian satu tahun kepada perusahaan-perusahaan itu pada 19 Juni. Izin tersebut dimaksudkan agar mereka dapat menggunakan perangkat lunak kecerdasan buatan dan keamanan eksternal untuk mengidentifikasi kerentanan dalam sistem internal.

Institute menyatakan bahwa semua kekurangan telah diperbaiki sebelum jaringan internal dan eksternal dihubungkan. Perbedaan ini penting: temuan tersebut menunjukkan persiapan yang tidak memadai untuk pengecualian itu, tetapi tidak membuktikan bahwa peretas memasuki sistem internal melalui koneksi yang diizinkan oleh program tersebut.

Dokumen inspeksi diperoleh oleh Han Chang-min, anggota Partai Sosial Demokrat yang duduk di Komite Kebijakan Nasional Majelis Nasional. Dokumen itu menunjukkan bahwa banyak perlindungan masih dalam tahap perencanaan dan perusahaan belum memverifikasi apakah kontrol mereka berfungsi di lingkungan operasional masing-masing.

Temuan tersebut muncul saat regulator menunda putaran kedua pengecualian yang rencananya akan memilih hingga 15 lembaga. Pihak berwenang menyebut penundaan itu diperlukan agar sumber daya administratif dapat difokuskan pada gelombang terpisah insiden pembobolan dan kebocoran data, bukan sebagai pengumuman berakhirnya kebijakan pelonggaran aturan pemisahan jaringan.

Perusahaan mana yang diperiksa?

Kelompok pertama terdiri atas empat bank, tiga perusahaan sekuritas, dua perusahaan asuransi, dan satu perusahaan kartu kredit. Bank yang diperiksa adalah Shinhan Bank, Hana Bank, Woori Bank, dan KakaoBank. Perusahaan sekuritasnya adalah KB Securities, NH Investment & Securities, dan Mirae Asset Securities. Samsung Fire & Marine Insurance, Hanwha Life, dan Hyundai Card melengkapi kelompok tersebut.

Kesepuluh perusahaan itu diperiksa terkait kontrol alternatif yang diwajibkan untuk memperoleh pengecualian. Institute tidak mengungkap perusahaan mana yang mengalami kekurangan tertentu atau merilis perincian pembagian item kontrol yang gagal, dengan alasan informasi tersebut berisiko membantu penyerang mengidentifikasi sasaran.

Karena itu, temuan bahwa beberapa konsol administrator dapat diakses dari internet eksternal tidak dapat dikaitkan dengan peserta tertentu. Hal yang sama berlaku untuk layanan cloud tanpa sertifikasi. Penyebutan perusahaan yang diperiksa menjelaskan cakupan peninjauan, bukan pihak yang bertanggung jawab atas setiap kelemahan spesifik.

Institute melaporkan temuannya kepada Financial Services Commission dan menyatakan telah memastikan perbaikan dilakukan sebelum koneksi jaringan berjalan. Dalam keterangan inspeksi, tidak ditemukan kerugian nasabah, penyusupan yang berhasil, atau kebocoran data akibat kekurangan khusus tersebut.

Persyaratan izin sementara

Perusahaan keuangan pada umumnya wajib memisahkan sistem bisnis internal dan sistem pemrosesan informasi di pusat data mereka dari jaringan komunikasi eksternal, termasuk internet. Kebijakan 19 Juni untuk sementara melonggarkan batasan itu demi tujuan khusus: menggunakan perangkat lunak AI dan keamanan eksternal sebagai layanan untuk memeriksa kerentanan sistem internal.

Software as a service, atau SaaS, adalah perangkat lunak yang diakses melalui infrastruktur daring penyedia, alih-alih sepenuhnya dipasang dan dioperasikan dalam sistem perusahaan sendiri. Penggunaannya untuk memeriksa teknologi internal dapat memerlukan koneksi terkendali melintasi batas yang biasanya dibatasi oleh aturan pemisahan jaringan.

Karena itu, pengecualian tersebut memiliki sejumlah syarat. Perusahaan harus menetapkan dan menerapkan 12 kontrol pengganti, termasuk prosedur untuk menangani insiden keamanan dan gangguan yang melibatkan layanan AI atau SaaS. Mereka juga harus mencegah pembagian atau pemrosesan data yang tidak perlu dalam layanan tersebut.

Syarat-syarat ini tidak hanya menyangkut kemampuan untuk terhubung dengan aman. Syarat tersebut juga mencakup tindakan yang harus dilakukan jika penyedia eksternal berhenti beroperasi serta cara informasi ditangani setelah layanan pihak luar menjadi bagian dari operasi keamanan perusahaan. Rencana tanggap tertulis dapat memenuhi persyaratan perencanaan tanpa membuktikan bahwa staf, sistem, dan pembatasan akses siap menjalankannya.

Pentingnya konsol administrator yang terekspos

Inspeksi menemukan kegagalan umum dalam memverifikasi kontrol di lingkungan tempat kontrol itu akan benar-benar beroperasi. Beberapa perusahaan juga membiarkan sistem administrator keamanan, yang dikenal sebagai konsol manajemen, dapat diakses melalui internet. Antarmuka ini digunakan untuk mengelola perangkat keamanan, sehingga pembatasan akses menjadi sangat penting.

Aksesibilitas melalui internet tidak dengan sendirinya membuktikan bahwa penyerang berhasil melewati autentikasi atau mengambil alih sistem. Namun, hal itu menciptakan jalur eksternal menuju antarmuka administratif yang sensitif. Pengungkapan hasil inspeksi tidak menjelaskan pengaturan autentikasi, lamanya akses terbuka, atau jumlah lembaga yang terdampak.

Yeom Heung-yeol, profesor di Departemen Keamanan Informasi Soonchunhyang University, memperingatkan bahwa perlindungan tersebut mungkin belum berfungsi sepenuhnya sebelum perbaikan dilakukan. Ia menyoroti akses ke sistem manajemen keamanan sebagai kekurangan yang sangat serius:

Tidak membatasi akses eksternal ke sistem administrator keamanan merupakan masalah yang sangat serius.

Keterangan Institute menyebutkan bahwa perbaikan dilakukan sebelum koneksi diizinkan. Hal ini membatasi kesimpulan yang dapat ditarik mengenai paparan nyata jaringan internal, tetapi tetap menyisakan persoalan kepatuhan yang besar: kontrol yang menjadi dasar pemberian pengecualian belum diterapkan sepenuhnya saat diperiksa.

Putaran kedua ditunda di tengah insiden pembobolan terpisah

Financial Services Commission berencana memilih kelompok lembaga berikutnya pada 7 Oktober. Penundaan dilaporkan pada 6 Oktober. Pihak berwenang menyebut perlunya memusatkan sumber daya untuk menangani insiden peretasan dan kebocoran data terbaru serta memantau perkembangan sebelum program diperluas.

Sejumlah insiden dilaporkan sejak 27 September di lembaga-lembaga termasuk KB Kookmin Bank, Shinhan Bank, Hana Bank, BNK Busan Bank, Yegaram Savings Bank, Welcome Savings Bank, dan Hyundai Capital. Laporan tersebut tidak membuktikan bahwa insiden-insiden itu disebabkan oleh pengecualian sementara aturan pemisahan jaringan.

Shinhan Bank dan Hana Bank tercantum dalam kelompok yang diperiksa sekaligus daftar lembaga yang dilaporkan mengalami insiden. Tumpang tindih itu bukan bukti adanya hubungan sebab-akibat. Peninjauan keamanan dan penanganan insiden yang lebih luas harus dibedakan kecuali ada temuan lebih lanjut yang mengaitkan keduanya.

Tanggal-tanggal utama menunjukkan urutan pemberian izin, inspeksi, dan penundaan perluasan:

• 19 Juni: Commission memberikan pengecualian sementara kepada sepuluh perusahaan untuk menggunakan AI dan SaaS keamanan eksternal.
• Pertengahan Juli hingga awal September: Financial Security Institute memeriksa perusahaan-perusahaan tersebut dan meminta perbaikan sebelum koneksi jaringan dijalankan.
• 14 September: Batas akhir pengajuan untuk putaran kedua yang direncanakan.
• Mulai 27 September: Serangkaian pembobolan dan kebocoran data di sektor keuangan dilaporkan.
• 6 Oktober: Penundaan pemilihan yang dijadwalkan pada 7 Oktober dilaporkan.

Pihak berwenang menyatakan penundaan itu tidak mengubah sikap mereka terhadap pelonggaran aturan bagi perusahaan dengan kemampuan respons yang memadai. Belum ada tanggal pengganti untuk pemilihan.

Perluasan akan menjangkau lembaga yang lebih kecil

Putaran kedua yang direncanakan akan memperluas kelayakan, dari perusahaan keuangan terbesar ke lebih banyak lembaga di luar perbankan dan penyedia layanan keuangan elektronik. Rincian langkah tersebut dikonfirmasi setelah pertemuan kelima Gugus Tugas Respons Situasi AI Frontier milik commission, yang melibatkan Financial Supervisory Service dan Financial Security Institute.

Jumlah calon peserta yang memenuhi syarat direncanakan bertambah dari 49 menjadi 75 perusahaan, naik 26 atau sekitar 53%. Jumlah tempat yang tersedia akan meningkat dari sepuluh menjadi maksimal 15, atau naik 50%. Angka-angka ini menggambarkan kelayakan dan kapasitas seleksi yang direncanakan, bukan jumlah permohonan yang benar-benar diterima.

Untuk perusahaan keuangan, batas minimum aset akan diturunkan dari 10 triliun won menjadi 2 triliun won, sedangkan ambang jumlah pegawai akan diturunkan dari 1.000 menjadi 300 pegawai tetap. Penyedia layanan keuangan elektronik harus memiliki nilai transaksi keuangan elektronik tahunan sedikitnya 2 triliun won dan pendapatan terkait yang melebihi 10% dari total pendapatan.

Di kedua kategori, kepala keamanan informasi tidak boleh merangkap fungsi teknologi informasi lainnya. Perusahaan terpilih akan menerima surat yang menyatakan tidak akan dikenai penegakan aturan pemisahan jaringan selama satu tahun, setelah menerapkan kontrol alternatif.

Temuan inspeksi menjadikan kapasitas penerapan sebagai faktor utama dalam perluasan tersebut. Penurunan ambang ukuran membuka peluang bagi lebih banyak perusahaan untuk berpartisipasi, tetapi tidak menghapus keharusan membuktikan bahwa perlindungan berfungsi. Regulator juga berencana mempertimbangkan putaran lanjutan dan kerangka permanen berdasarkan kemajuan pengujian dan permintaan; penundaan ini belum menentukan keputusan tersebut.

Alasan Korea meninjau kembali pemisahan fisik

Ketegangan kebijakan ini didokumentasikan dalam laporan pemisahan jaringan Korea Capital Market Institute, laporan isu 24-26 yang diterbitkan pada 22 November 2024 oleh peneliti Hwang Se-woon. Laporan tersebut mengkaji manfaat keamanan dan biaya operasional pendekatan Korea, seiring meningkatnya penggunaan perangkat lunak cloud dan AI generatif.

Laporan itu menelusuri asal-usul kebijakan ini ke gangguan perbankan pada 20 Maret 2013, ketika kode berbahaya yang menyamar sebagai pembaruan menyebar melalui server pembaruan antivirus. Laporan menyebut pihak berwenang mengumumkan langkah-langkah keamanan keuangan menyeluruh pada Juli 2013 dan pemisahan jaringan secara resmi ditetapkan dalam peraturan pada 2015.

Skala keuangan digital membantu menjelaskan respons tersebut. Menurut laporan itu, transaksi elektronik sudah mencakup 87,7% dari seluruh transaksi keuangan pada 2013, sementara nilai rata-rata transaksi harian perbankan internet dan seluler melampaui 33 triliun won.

Pemisahan fisik menggunakan perangkat atau infrastruktur terpisah untuk menjaga aktivitas internet tetap terpisah dari pekerjaan internal. Pemisahan logis menggunakan teknologi seperti virtualisasi untuk mempertahankan lingkungan terpisah pada infrastruktur fisik bersama. Segmentasi jaringan membagi sistem menjadi beberapa zona dan mengendalikan lalu lintas di antaranya, alih-alih melarang semua koneksi.

Laporan Hwang mengidentifikasi konflik praktis: banyak perangkat lunak modern, termasuk AI generatif, disediakan melalui layanan cloud eksternal, sementara data keuangan penting disimpan di jaringan internal yang dilindungi. Laporan itu menjelaskan bahwa pemisahan ketat dapat menghambat penelitian, pengembangan perangkat lunak, dan penggunaan rutin perangkat lunak berlangganan, bahkan ketika perangkat tersebut dapat mengurangi biaya atau meningkatkan proses kerja.

Perbandingan internasional mendukung koneksi terkendali

Laporan Korea Capital Market Institute membandingkan pendekatan di Amerika Serikat, Eropa, dan Australia. Perbedaan utamanya terletak pada apakah aturan mewajibkan pemutusan fisik atau memberi lembaga keleluasaan memilih desain keamanan sambil tetap bertanggung jawab melindungi informasi.

Di Amerika Serikat, pedoman keamanan informasi Federal Financial Institutions Examination Council menjelaskan zona jaringan tepercaya dan tidak tepercaya, kontrol di antara zona tersebut, diagram jaringan dan arus data yang akurat, serta pembatasan berlapis. Menurut laporan itu, pendekatan ini tidak mewajibkan satu metode pemisahan fisik yang berlaku universal.

Untuk Eropa, laporan tersebut mengkaji General Data Protection Regulation, Payment Services Directive kedua, dan pedoman European Banking Authority. Pedoman yang dibahas mensyaratkan tanggung jawab manajemen, kontrol atas penyedia teknologi eksternal, pembatasan hak akses, serta pemantauan dan pengujian kontrol akses secara berkala.

Perbandingan dengan Australia mengacu pada pedoman Australian Prudential Regulation Authority dan saran Australian Cyber Security Centre. Pendekatan-pendekatan ini memperlakukan segmentasi sebagai salah satu dari beberapa perangkat keamanan dan memperingatkan agar seluruh jaringan internal tidak dianggap sama-sama tepercaya setelah penyerang berhasil menembus batas luarnya.

Laporan itu juga mengutip survei yang menunjukkan bahwa pada 2022, 82% bank yang disurvei telah memindahkan atau berencana memindahkan sedikitnya separuh sistem mainframe utama mereka ke cloud. Survei terpisah pada 2023 menemukan bahwa 66% perusahaan keuangan global tengah menjalankan migrasi cloud demi pertumbuhan dan inovasi. Kedua angka tersebut berasal dari metode survei yang berbeda, bukan menunjukkan tren penurunan adopsi dari tahun ke tahun.

Perbandingan itu memberikan pelajaran spesifik bagi inspeksi di Korea: keleluasaan lebih besar dalam merancang jaringan bergantung pada apakah pembatasan akses dan pengujian benar-benar berfungsi. Laporan tersebut merekomendasikan reformasi bertahap, klasifikasi data yang terstandardisasi, pertanggungjawaban lebih kuat atas insiden, investasi keamanan, serta inspeksi pengawasan berkala yang disertai tindakan korektif.

Pengecualian SaaS terpisah tetap membatasi penggunaan data

Langkah pelonggaran terpisah mengizinkan perusahaan keuangan dan penyedia layanan keuangan elektronik menggunakan perangkat SaaS administratif tertentu tanpa memasuki regulatory sandbox keuangan. Jalur ini tidak boleh disamakan dengan pengecualian sementara untuk pengujian keamanan AI yang diberikan kepada sepuluh perusahaan yang diperiksa.

Pengecualian tersebut mencakup SaaS yang ditentukan berdasarkan Enforcement Decree of the Act on the Development of Cloud Computing and Protection of Its Users, terkait persyaratan pemisahan jaringan dalam Electronic Financial Transactions Act dan peraturan pengawasan terkait.

Pengecualian ini tidak mencakup kegiatan yang melibatkan informasi identitas pribadi atau informasi kredit pribadi. Penggunaan SaaS yang melibatkan data pribadi berpseudonim tetap memerlukan persetujuan sandbox. Pseudonimisasi mengganti detail pengenal dengan pengganti, tetapi tidak selalu menjadikan informasi itu anonim.

Permohonan harus melalui pemeriksaan Financial Security Institute. Perusahaan wajib mempertahankan kontrol keamanan untuk perangkat akses dan meninjau kontrol kepatuhan setiap enam bulan, lalu melaporkan hasilnya kepada kepala keamanan informasi. Institute juga menerbitkan buklet yang menjelaskan keamanan teknologi keuangan, risiko SaaS, dan langkah-langkah penanganannya.

Jika dilihat bersama, kedua jalur itu menunjukkan bahwa pelonggaran regulasi bersyarat, bukan tanpa batasan. Program pengujian sementara mensyaratkan kontrol pengganti sebelum koneksi; jalur SaaS administratif tetap membatasi penggunaan data, mewajibkan pemeriksaan sebelumnya, dan mempertahankan peninjauan berkala.

Persoalan langsung yang belum terjawab adalah perusahaan mana yang mengalami masing-masing kekurangan dalam inspeksi, bagaimana kelemahan tersebut berkembang, dan kapan pemilihan yang ditunda akan dilanjutkan. Konfirmasi Institute bahwa perbaikan dilakukan sebelum koneksi merupakan batas paling jelas yang disampaikan terkait insiden tersebut. Ujian yang lebih luas adalah apakah perusahaan dapat mempertahankan kontrol yang berfungsi setelah inspeksi, alih-alih hanya menyusun rencana yang penerapannya harus didorong oleh pemeriksa.

Poin-Poin Utama

• Sepuluh perusahaan keuangan mendapat pengecualian sementara aturan pemisahan jaringan pada 19 Juni untuk pengujian AI dan SaaS keamanan.
• Inspeksi dari pertengahan Juli hingga awal September menemukan banyak perlindungan yang diwajibkan masih dalam tahap perencanaan.
• Beberapa konsol manajemen keamanan dapat diakses melalui internet, sementara sebuah layanan cloud tidak memiliki sertifikasi keamanan.
• Financial Security Institute menyatakan semua kekurangan telah diperbaiki sebelum jaringan internal dan eksternal dihubungkan.
• Pemilihan hingga 15 lembaga tambahan yang dijadwalkan pada 7 Oktober ditunda di tengah insiden pembobolan dan kebocoran data terpisah.
• Perluasan yang direncanakan akan meningkatkan jumlah calon peserta yang memenuhi syarat dari 49 menjadi 75 perusahaan.
• Pengecualian SaaS administratif yang terpisah tetap membatasi penggunaan data pribadi, mewajibkan pemeriksaan Institute, dan mengharuskan peninjauan keamanan setiap enam bulan.