韓国の金融監督院は9日、金融各社の情報セキュリティ最高責任者（CISO）を招集し、AIを悪用したサイバー攻撃への対応強化を要請した。IT基本統制に弱みのある高リスク先には現場点検を実施し、形式的な自主是正の結果、大規模な事故が発生した場合は厳正に対処する方針だ。

同院は同日、イ・ジョンオ デジタル・IT部門副院長補の主催で「金融業界CISO懇談会」を開いたと発表した。主要金融会社16社のCISOに加え、銀行、金融投資、保険、与信専門、貯蓄銀行、フィンテック各業界の協会関係者が出席した。

会合では、経営陣主導で全社的なITリスク管理体制を構築するよう求めた。あわせて、IT資産の特定・管理、セキュリティ脆弱性への対応、広範なパッチ適用体制の強化も要請した。

対応が不十分な金融会社については、重点モニタリングや現場点検、経営陣との面談を通じて集中的に管理する方針も示した。

また、システム、プログラム、クラウド、オープンソースを含むすべてのIT資産を把握し、一元管理する必要があると説明した。資産や業務の重要度に応じてパッチ適用の優先順位を定めるなど、脆弱性対応の手続きを組織内に定着させ、自動化することも求めた。

サイバー侵害事故が発生した際の迅速なサービス復旧や、顧客被害の通知・補償といった消費者保護体制の整備も要請した。

金融監督院は、IT基本統制に関する点検も強化する。最近の主要なIT事故の相当数が、セキュリティパッチの未適用、退職者アカウントの放置、利用者情報の暗号化不足、プログラム変更時のテスト不足といった基本統制の不備に起因していると指摘した。

11月まではセルフチェックツールを活用し、情報処理システムの保護、電子データの保護、ハッキング防止、公開Webサーバの管理、プログラム変更統制の5分野を点検する。今後の検査でも、基本統制の運用実態を重点的に確認し、高リスク先には現場点検を実施する方針だ。

一方、自主是正を通じて不備を誠実に改善した金融会社については、軽微な事故が発生した場合、制裁の軽減を積極的に検討する。これに対し、形式的・消極的な自主是正のまま、IT基本統制の不備を原因とする大規模なIT事故やサイバー侵害事故が起きた場合は、厳正に対処するとした。

イ・ジョンオ副院長補は「フロンティアAIに基づくセキュリティ脅威は、漠然とした懸念ではなく、金融会社の生存に直結する現実の問題だ」と述べた。その上で「代表取締役を含む経営陣が組織、人員、予算を拡充し、全社的なセキュリティ強化に取り組むべきだ」と強調した。