銀行のセキュリティ防衛線、対外接点へと拡大へ
AIサイバー攻撃技術が急速に発展する中、金融界の新たな脅威として浮上しており、これに伴い銀行セキュリティの最前線も基幹システムを超えて外部連携システムへと拡大している。銀行はこれまで、外部ネットワークと内部システムを分離する「ネットワーク分離」によって顧客の預かり金を守ってきた。しかし最近の個人情報流出事故は、ローン募集人や委託業者が使用する業務支援システムが顧客情報にアクセスできる経路となり得ることを示し、ネットワーク分離だけではこうした経路を制御することが困難だという限界が明らかになった。
最新のセキュリティ技術動向に合わせ、金融機関はネットワーク分離体制を維持しながら「ゼロトラスト」セキュリティ体系の導入を推進している。ゼロトラストとは、内部ネットワークと外部ネットワークを区別して信頼する従来の方式から脱し、ユーザー、デバイス、接続環境、権限などを接続のたびに確認し、必要なシステムと情報にのみアクセスを許可するセキュリティ原則だ。特にAIエージェントが外部に公開されたサービスやアカウント、接続されたシステムを探索し、攻撃経路を分析する作業を自動化できるだけに、アクセス権限とアカウント管理を中心にセキュリティ体系が再設計されている。キム・ビョンムSKシルダースサイバー事業部門長は「AIは新たな脆弱性を発掘する万能技術ではなく、攻撃の規模と速度を増幅させるツールであるため、企業は保有資産に対する徹底した可視性を確保し、APIをはじめとする外部公開接点の制御を大幅に強化すべきだ」と述べた。
金融当局も対外接点の管理強化を求めている。金融委員会は今月14日、関係機関と「第2次緊急状況対応会議」を開き、金融機関のセキュリティ体系と管理システムの全数点検、金融界の共同対応体制の構築などを推進することを決めた。また、対外接点が広く顧客数が多い大型金融機関から脆弱性を点検し、評価周期を年2回以上に拡大する方案も提示した。シン・ジンチャン金融委員会事務処長は「金融分野は信頼と安全が重要であるだけにセキュリティ管理が不可欠だが、金融会社で基本的な部分が守られていない事例が発見されたのは非常に痛恨のことだ」と述べた。続けて「今回の事故を契機に、金融会社の対外接点、認証管理などの攻撃対象領域の管理から、全金融界のセキュリティ管理・監視体系、CEOや取締役会などの責任性の確保に至るまで、セキュリティ体系全般に対する徹底的な再点検と根本的な制度改善が実現されるよう全力を尽くす」と強調した。さらに「AI攻撃はAIで防御するセキュリティ体系の確立に向けたネットワーク分離規制の緩和などの制度改善も速度感を持って推進する」と明らかにした。
制度面の基盤はすでに整備されている。ローン募集人に対して顧客情報へのアクセス制限や情報流出防止対策などを管理基準に含め、契約適格性などを定期的に点検するよう定めた模範基準があり、信用情報関連法令も顧客情報の委託時に提供範囲と目的、期間などを事前に通知し、信用情報管理・保護人が管理体制を定期的に点検するよう規定している。しかし制度上の基準と実際の運営の間には溝がある。外部人材のアカウントが契約終了や人材の移動後に直ちに回収されているか、ローン募集人が顧客のどの情報まで照会できるのかなど、金融機関ごとの詳細な運用データは公開されていない。
