24時間でも長い――韓国金融委、ハッキング報告時間の短縮推進

攻撃速度を増すAI、電子金融監督規程を見直し

セキュリティー脆弱性の点検周期も年2回以上に強化

人工知能（AI）を活用したハッキング攻撃が相次ぐなか、韓国の金融当局は金融会社によるハッキング被害の報告時間を短縮する案の検討に入った。AIが24時間体制で脆弱性を探し、攻撃を自動化する時代にもかかわらず、金融業界のセキュリティー規制が定期点検と事後報告に重きを置いているためだ。

10月8日に金融界が伝えたところによると、韓国金融委員会は、ハッキング事故が発生した際に金融会社が同委員会へ24時間以内に報告するよう定めた電子金融監督規程の見直しを検討している。現行規程では、金融会社と電子金融業者は侵害事故が起きた場合、「遅滞なく」事故の内容と影響を金融委員会に報告しなければならず、正当な理由がなければ報告は24時間を超えられない。

金融委員会が報告時間の短縮を検討するのは、AIを使ったハッキングの速度が従来の攻撃より大幅に速いことを踏まえたためだ。金融当局が被害状況を業界に早く共有するほど、他の金融会社も侵害の有無を確認し、追加被害の遮断を効率的に進めやすくなる。

とりわけ、AIを活用したハッキングの報告事例はまだ多くない。このため、情報共有を迅速に進める方が対応には有利になる。ただ、個別の金融会社がハッキング被害の有無を把握するにも相当の時間を要する。このため、報告期限の短縮だけでは迅速な事故対応に限界がある点も、金融委員会の課題になっている。

金融委員会はこれに先立ち、金融会社のセキュリティー脆弱性の点検周期を短縮し、点検対象も広げる方針を明らかにしていた。現行の電子金融監督規程は、一般の情報処理システムなどについては年1回以上、公開用ホームページについては年2回以上の脆弱性分析・評価を義務付けている。金融委員会は、年1回としている点検周期を年2回以上に増やし、これまで対象から外れていた外部業務システムまで管理範囲を広げる案を検討している。

金融当局は規制整備に乗り出す方針を示したものの、ハッキング事故が相次いだ後になって既存のセキュリティー体制の不備を見直し始めたとして、後手対応だとの批判も出ている。

パク・シオン記者 ushire908@hankyung.com