金融保安院は10日、金融機関が自社のセキュリティ水準を診断し、課題の洗い出しと改善につなげるための「金融セキュリティ水準診断フレームワーク」を策定して配布したと発表した。
フレームワークは、ガバナンス、識別、保護、検知、対応、復旧、サプライチェーンの7分野で構成する。45項目、127の詳細原則を設け、セキュリティ全般を総合的に診断できるようにした。
評価は4段階で行う。区分は初期（Initial）、基盤（Defined）、発展（Managed）、高度化（Advanced）とした。
一般的なセキュリティ体制を備えた金融機関が、第2段階の「基盤」に位置付けられる想定だ。水準の向上に応じて、「発展」「高度化」へと評価が上がる仕組みとしている。
金融保安院が実施した試行テストでは、国内の大手金融機関は堅固なセキュリティ体制を備え、平均で第3段階の「発展」水準に相当した。グローバル金融機関については、3.5段階を上回る水準になるとみている。
同院は、フレームワークの業界定着を進めるため、政策・技術分野の専門家7人による専任組織「自律セキュリティ研究チーム」を1月に新設した。3月からは、希望する金融機関を対象に訪問診断を本格実施する計画だ。
パク・サンウォン院長は「ネットワーク分離規制の緩和やAI転換（AX）などで金融IT環境が急速に変化する中、新たな脅威に先手で対応するには、金融機関が自律的にセキュリティを計画し、実行する力を備えることが何より重要だ」と述べた。その上で「金融機関が自ら水準を診断し、改善していく高度な自律セキュリティ文化が現場に根付くよう、最善を尽くす」と強調した。
著者について
Ji-young Lee
ljy@d-today.co.kr