金融委、金融業界580社を網羅したセキュリティ総点検へ

2026.11.05. 公正経済 — 金融委員会と金融業界は人工知能（AI）時代のセキュリティ体制革新方案について議論した。主な議題は、約580社を対象とした外部接点・内部統制の総点検、大手金融会社の脆弱性分析・評価の年2回以上義務化、ネットワーク分離規制の全面解除に向けたタスクフォース（TF）の稼働などである。

金融委は5日、李億遠（イ・オグォン）金融委員長主宰のもと「AI時代のセキュリティ体制革新のための全金融業界懇談会」を金融保安院の汝矣島分院で開いた。

懇談会には金融監督院の首席副院長とデジタル・IT副院長補、金融保安院長とサイバー対応本部長、金融AI保安研究所長が出席した。銀行、生命保険、損害保険、金融投資、与信専門金融の業圏協会長と、貯蓄銀行中央会、新協、農協、水協、セマウル金庫中央会長も参加した。仮想資産、電子金融、オンライン投資連携金融業の協会長も同席した。汎政府共助の次元で、国務調整室、科技部、行安部、個保委、防衛委、警察庁、韓国インターネット振興院（KISA）と民間技術諮問団も席を共にした。

金融業界での侵害事故が確認された9月30日以降、11月3日までに37社から40件の申告があった。業種別では電子金融10社、金融投資5社、貯蓄銀行5社、銀行4社、オンライン投資連携金融業4社、保険3社、暗号資産3社、信用専門金融2社、相互金融1社だった。10月14日に全金融業界のチェックリスト点検が終わった後は、中小規模の証券会社や保険会社、電子金融業、オンライン投資連携金融業、暗号資産取引所からの申告が多かった。

情報流出は約47万3000件と把握された。役職員情報や顧客の氏名、住民登録番号、口座番号が多く、口座暗証番号など不正決済につながる恐れのある情報の流出は確認されなかった。

一部の小規模な仮想資産取引所、電子金融業者、オンライン投資連携金融業者では、約10億ウォン（約1億800万円）の資金が奪取されたと報告された。仮想資産のホットウォレット、消費性ポイント、オンライン投資連携金融業の預託金のように、会社が顧客資金を統合管理する口座で移転が発生したが、個別利用者の資金損失は現実化していない。金融委員会と金融監督院は11月2日、デジタル資産取引所共同協議体（DAXA）や主要仮想資産事業者などが参加した緊急点検会議を開き、仮想資産業界に徹底した管理措置を求めた。政府は10月6日に消費者警報を発令し行動要領を発表するとともに、異常取引のモニタリングも強化している。

総点検対象は、全金融会社と電子金融業者に仮想資産事業者まで加えた580余社だ。電子金融取引法が適用されない仮想資産業圏も含む。最近のハッキングは、セキュリティーが徹底した核心システムではなく、人材限界で管理がおろそかになった営業・相談用の内部職員向けウェブとモバイルサービスの外部接点を集中的に狙った。権限管理の不良、二重認証の迂回、不良なアプリケーションプログラムインターフェース（API）管理のような「弱い環」が被害の相当数を生んだ。

これを受け、ウェブサイトなど対顧客サービスはもちろん、職員管理、内部業務、提携業務のように外部からアクセス可能なすべての業務領域を点検する。認証、アクセス制御システム全般、営業・管理目的のAPI、オープンソースを含むソフトウェア、開発・テスト用および臨時運用システムが詳細な対象だ。

内部統制の点検では、内規の有無、決裁・承認・報告など内部統制が機能しているか、IT資産やサービス管理台帳の運用状況、脆弱性分析・評価や保安監視の実施状況を見る。最高経営責任者（CEO）、最高情報保護責任者（CISO）、最高情報責任者（CIO）の役割も点検項目だ。金融会社がまず自主点検を行い、問題がなくても点検方式と判断理由を詳細に記載しなければならない。管理台帳を再点検し、漏れているサービスは登録した上で点検する。内容が不十分だったり重大な脆弱性が見つかった場合は、金融監督院と金融保安院が現場点検に入る。

不要な外部接続は直ちに遮断し、他の利用者の情報照会のように金銭被害や個人情報漏洩につながる脆弱性は補完するまでサービスを中断しなければならない。直ちの補完が困難な重要サービスは、CEOの承認と責任のもと代替統制を適用して再開でき、CISOの取締役会報告と承認を並行して行う。管理台帳への登録システムは11月30日までに、未登録システムと内部統制の総調査は12月31日までに完了させる。細項目と点検方式は金監院が別途案内する。

脆弱性分析・評価は現在、金融会社が外部機関の点検を年1回以上受け、金融当局に提出する方式である。点検周期が長く、外部点検範囲が明示されていないため周辺システムまで見ることが難しく、補完事項の実行を促す手段も十分ではなかった。金融委は大手金融会社から段階的に周期を年1回から2回に短縮し、電子金融取引と直接的・間接的に関連するすべての外部接点を対象に含める計画だ。

緊急点検が必要な場合、金融当局が随時評価を要求できる根拠も整備する。これを盛り込んだ電子金融監督規定改正案は11月中に規定変更を予告する。重要な脆弱性を長期間放置した場合、是正命令を出し、未履行時は履行強制金を課す電子金融取引法改正案はすでに提出されており、年内の国会通過を支援する方針だ。

中小型金融会社には、金融人工知能（AI）保安研究所と支援センターを通じた支援に加え、金融保安院の「ワンストップAI防御サービス」を12月から順次提供する。このサービスは、AIで外部接点と脆弱要因を常時探索し、リスク優先順位と措置方案まで提供する。セキュリティー能力に合わせて措置内容を区分した「カスタマイズ型セキュリティー案内書」と段階別警報体系も支援する。2次被害防止のため、ダークウェブとテレグラムで奪取情報の流通、侵害攻撃の模擬情勢、新しい悪性コードの出現を常時モニタリングする。

AIベースのフィッシング指数は取引のボイスフィッシング関与の可能性を0点から100点で示す。金融業界ボイスフィッシング情報共有・分析プラットフォーム（ASAP, AI-based anti-phishing Sharing & Analysis Platform）に11月から試験導入する。相互金融や貯蓄銀行など中小型企業の探知能力向上の効果も期待される。

ネットワーク分離規制全面解除TFには、政府、関連機関、民間専門家、全金融業界の担当役員が参加する予定だ。データの重要度に応じた管理・保護体系と、すべてのアクセスを継続的に検証する「ゼロトラスト」などの代替セキュリティ手段を議論する。CEO、取締役会、CISOの役割と責任、侵害事故時のコアサービス維持のための業務継続性確保方案も扱う。

金融当局はAIとソフトウェア・アズ・ア・サービス（SaaS）活用に関するネットワーク分離例外を2024年9月から許可し、SaaS利用関連の例外は今年4月に常態化した。現在、非措置意見書で緊急施行中のセキュリティ目的のAI活用緩和措置も常時制度化する。

金融委は総点検の結果を基に「セキュリティ内部統制ガイドライン」を来年第1四半期中に策定して施行する計画だ。総点検過程で明らかになった管理怠慢は直ちの補完を前提として、可能な限り柔軟に対応する方針である。ただし、点検後に侵害事故が発生すれば、点検が適切に行われたかまで検証し厳正に責任を問う方針だ。李億遠金融委員長は全金融業界のCEOに対し、全社的な非常対応班を直ちに構成し、総点検と制度改善課題に対応するよう要請した。

以前、金融当局は10月14日に行った555カ所の金融会社を対象とした12項目のセキュリティチェックリスト点検で、130カ所（23.4%）が不十分だと明らかにした。最新セキュリティパッチ未適用、メーカー技術支援が終了した老朽システムの管理不備、24時間セキュリティ監視体制未構築などが指摘された。

当時、侵害事故が確認されたのは16社、情報漏洩は約10万件だったが、その後被害規模が大きく増加した。点検の実効性論争が起き、10月19日の国会政務委員会国政監査でイ・チャンジン金融監督院長は総調査を再実施すると明らかにした。

現行の仮想資産利用保護法は、利用者資産の80%以上をコールドウォレットに保管し、保険・共済加入または準備金積立を行うよう定めている。ただし、別途の損害賠償責任を直接規定していない。国会政務委にはハッキング時に事業者に賠償責任を求める法案が係留中であり、金融当局も無過失賠償条項を検討している。