FSC發布金融領域雲計算和網絡分離規定改進措施

韓國金融服務委員會 (FSC)於4月14日公布了其改進金融部門雲計算和網絡分離監管的計劃。由於對雲計算和網絡分離的過度監管，金融業一直對采用和使用新數字技術的困難表示擔憂。因此，為支持金融業穩步推進數字化轉型，當局出臺了一系列措施，完善雲計算和網絡分離監管。在雲計算方面，這些變化將側重於 (a)明確可以利用雲計算的工作範圍（和類型），(b)徹底改革使用過程以消除冗余和相似之處，以及(c)從事後報告的當前事先報告要求。在網絡分離方面，網絡分離規定的統一應用將從開發和測試服務器開始分階段放寬。

背景

金融服務數字化轉型的加速推動了對雲計算、大數據分析和人工智能 (AI) 等新數字技術的需求。然而，業界不斷抱怨，目前金融領域有關雲計算和網絡分離的數據安全法規過於嚴格，從而阻礙了新數字技術的采用和使用。為解決這一問題，FSC在綜合考慮金融業各方意見後，製定了完善雲計算使用和網絡分離監管措施，促進金融業數字化創新。

雲計算使用的監管改進

a) 明確確定使用雲計算服務的工作意義等級的評估標準

（問題） 使用雲計算時，應該進行評估以確定工作重要性的級別，但現有評估標準相當不明確。現行規定下，工作意義的高低由個人信用信息的處理情況、是否對電子金融交易的安全可靠造成嚴重影響等因素決定，但在適用性方面存在缺陷。

（解決方案）當局將結合海外案例，製定更詳細的工作重要性評估標準。工作重要性級別的評估將由金融公司內部數據保護委員會審議確定。

b) 將雲服務提供商 (CSP) 的評估標準數量從141項減少至54項

（問題）金融企業在使用雲計算服務前，需要對雲服務提供商進行穩健性和穩定性評估。目前的評估標準過多，多達141項，項目重疊，對金融企業的全過程負擔最大。

（解決方案）當局進行了簡化，將CSP評估標準的數量減少到總共54條，由16條基本標準和38條替代標準組成。對於非必要類型的工作，進一步簡化，要求金融公司僅根據16項基本標準對CSP進行評估。

c) 根據工作重要性級別區分雲計算使用流程

（問題） 目前，即使是被歸類為後臺職能（非必要工種）的工種，也需要遵守與被歸類為前臺職能（必要工種）相同的使用流程。因此，盡管金融公司可以在其業務連續性計劃中對非必要工種的某些標準進行自由調整，但在實踐中，非必要工種的處理方式與必要工種相似。 

（解決方案）當局將通過取消部分CSP評估要求，簡化非必要工作類型的雲計算服務使用流程。當局還將在製定業務連續性計劃和安全保障措施時，對非必要工種實行單獨的標準，以明確必要工種和非必要工種的程序區別。

d) 引入統一的CSP考核體系，減輕金融公司負擔

(問題) 目前，當金融公司「A」和「B」希望使用CSP「a」提供的雲計算服務時，金融公司「A」和「B」必須分別對CSP「a」進行評估，程序效率低下。

（解決方案）代表金融公司的金融安全研究所（FSI）將進行統一的CSP評估，其結果可供金融公司「A」和「B」使用。

e) 為SaaS製定一套獨特的評估標準

（問題）當前的CSP評估標準不太適合評估軟件即服務 (SaaS) 應用程序。

（解決方案）當局將以類似於雲安全保障計劃（CSAP）的方式為SaaS業務製定一套單獨的評估標準。

f) 簡化「工作委托操作標準」等提交所需的文書工作

（問題）為了讓金融公司使用雲計算，業界抱怨提交所需的文書工作是多余的和過多的。目前，金融公司在使用雲計算時需要提交的「工作委托操作標準」是一種負擔。

（解決方案）當局將簡化冗余和相似性，以幫助減輕金融公司準備和提交必要文件的負擔。

g) 從當前的事前報告要求過渡到使用雲計算的事後因素報告

（問題） 目前，金融公司需要在使用雲計算的7個工作日前進行必要的工作時，必須向金融監督院報告。但是，出於及時性的目的，該報告規定不可取。

（解決方案）此前的報告規定將更改為使用雲計算的事後報告要求。在簽署將雲計算服務用於基本工作類型的外包合同時，或者當現有合同發生重大變化時，金融公司將被要求在簽署或發生變化後三個月內報告該變化。

網絡分離的監管改進

a) 開發和測試服務器的網絡分離規定豁免

(問題) 隨著物理網絡分離規定在開發和測試服務器上的統一應用，這些服務器不保存個人信用信息，因此在電子金融交易中的重要性相對較低，開發和測試環境效率低的問題一直存在。

（解決）對於開發和測試服務器，將給予豁免，以放寬物理網絡分離規定。但是，將采取補充措施來最大限度地減少潛在的惡意軟件攻擊，並需要額外的數據保護控製措施。

b) 非電子金融工作和SaaS的網絡分離規定豁免

（問題）對於與電子金融交易無關的工作類型以及不處理客戶及其交易信息的操作系統在使用軟件即服務 (SaaS) 應用程序時，即使對於非必要類型的工作，網絡分離規定也會帶來不便。

（解決方案）通過金融監管沙盒計劃，當局將豁免與電子金融交易無關的工作類型以及不處理客戶及其交易信息的工作類型的物理網絡分離要求。對於非必要類型的工作，當局將允許在公司內部網絡中使用SaaS應用程序。

c) 中長期逐步放松對網絡分離的管製

（問題） 目前，無論金融公司的工作範圍如何，都統一適用網絡分離規定。例如，不一定持有客戶信息而只專註於管理其資產的資產管理業務，盡管對資產管理業務的監管需求相對較低，但仍受與銀行同等級別的網絡分離規定的約束。

（解決方案）中長期來看，當局將在審查某些條件後尋求放松對網絡分離的管製。