AI விலக்குகளின் கீழ் நெட்வொர்க்குகளை இணைக்கும் முன் பாதுகாப்புச் சோதனைகளில் தோல்வியடைந்த 10 தென் கொரிய நிதி நிறுவனங்கள்

பாதுகாப்பு நடவடிக்கைகள் பெரும்பாலும் காகிதத்தில் மட்டுமே இருந்ததை ஆய்வுகள் கண்டறிந்தன

உள் வணிக நெட்வொர்க்குகளை வெளிப்புற இணையச் சேவைகளுடன் இணைக்கத் தற்காலிக அனுமதி பெற்ற தென் கொரிய நிதி நிறுவனங்கள் பத்தில், தேவையான பல பாதுகாப்பு நடவடிக்கைகளை நடைமுறைப்படுத்தத் தவறியிருந்தன. ஜூலை நடுப்பகுதி முதல் செப்டம்பர் தொடக்கம் வரை நடத்தப்பட்ட ஆய்வுகளில் இது தெரியவந்தது. இணையத்திலிருந்து அணுகக்கூடிய பாதுகாப்பு மேலாண்மை கன்சோல்கள், பாதுகாப்புச் சான்றிதழ் பெறாத கிளவுட் சேவை ஆகியவை குறைபாடுகளில் அடங்கின.

ஜூன் 19 அன்று நிதிச் சேவைகள் ஆணையம் நிறுவனங்களுக்கு ஓராண்டு விலக்கு அளித்ததைத் தொடர்ந்து, நிதிப் பாதுகாப்பு நிறுவனம் 12 மாற்றுப் பாதுகாப்புக் கட்டுப்பாடுகளை ஆய்வு செய்தது. உள் அமைப்புகளில் உள்ள பாதிப்புகளைக் கண்டறிய வெளிப்புற செயற்கை நுண்ணறிவு மற்றும் பாதுகாப்பு மென்பொருளைப் பயன்படுத்த நிறுவனங்களுக்கு அனுமதி அளிப்பதே இதன் நோக்கமாக இருந்தது.

உள் மற்றும் வெளிப்புற நெட்வொர்க்குகள் இணைக்கப்படுவதற்கு முன்பே அனைத்துக் குறைபாடுகளும் சரிசெய்யப்பட்டன என்று நிறுவனம் தெரிவித்தது. இந்த வேறுபாடு முக்கியமானது: விலக்குகளுக்கான தயாரிப்புகள் போதுமானதாக இல்லை என்பதை ஆய்வுகள் காட்டுகின்றன; ஆனால், இந்தத் திட்டத்தின் கீழ் அனுமதிக்கப்பட்ட இணைப்புகள் வழியாக ஹேக்கர்கள் உள் அமைப்புகளுக்குள் நுழைந்தனர் என்பதை அவை நிரூபிக்கவில்லை.

தேசியப் பேரவையின் தேசியக் கொள்கைக் குழு உறுப்பினரும் சமூக ஜனநாயகக் கட்சியின் நாடாளுமன்ற உறுப்பினருமான ஹான் சாங்-மின் ஆய்வுப் பதிவுகளைப் பெற்றார். பல பாதுகாப்பு நடவடிக்கைகள் திட்டமிடும் கட்டத்திலேயே இருந்ததையும், தங்கள் செயல்பாட்டு சூழல்களில் கட்டுப்பாடுகள் உண்மையில் செயல்படுகின்றனவா என்பதை நிறுவனங்கள் சரிபார்க்கவில்லை என்பதையும் அவை காட்டின.

அதிகபட்சம் 15 நிறுவனங்களைத் தேர்ந்தெடுக்கவிருந்த இரண்டாம் கட்ட விலக்குகளை ஒழுங்குமுறை அமைப்புகள் ஒத்திவைத்தபோது இந்தக் கண்டறிதல்கள் வெளிவந்தன. தனியாக நிகழ்ந்த ஊடுருவல்கள் மற்றும் தரவுக் கசிவுகளைக் கையாள நிர்வாக வளங்களைச் செலுத்த வேண்டியிருந்ததால் ஒத்திவைப்பு ஏற்பட்டதாக அதிகாரிகள் தெரிவித்தனர். நெட்வொர்க் பிரிப்பு விதிகளைத் தளர்த்தும் கொள்கை முடிவுக்கு வந்துவிட்டதாக அவர்கள் அறிவிக்கவில்லை.

எந்த நிறுவனங்கள் ஆய்வுக்கு உட்படுத்தப்பட்டன?

முதல் குழுவில் நான்கு வங்கிகள், மூன்று பத்திர நிறுவனங்கள், இரண்டு காப்பீட்டு நிறுவனங்கள், ஒரு அட்டை நிறுவனம் இடம்பெற்றன. ஷின்ஹான் வங்கி, ஹனா வங்கி, வூரி வங்கி, ககாவோ வங்கி ஆகியவை வங்கிகள். கேபி செக்யூரிட்டீஸ், என்ஹெச் இன்வெஸ்ட்மென்ட் & செக்யூரிட்டீஸ், மிரே அசெட் செக்யூரிட்டீஸ் ஆகியவை பத்திர நிறுவனங்கள். சாம்சங் ஃபயர் & மரைன் இன்சூரன்ஸ், ஹன்வா லைஃப், ஹூண்டாய் கார்டு ஆகியவை மற்ற நிறுவனங்கள்.

இந்தப் பத்து நிறுவனங்களும் தங்களுக்கான விலக்குகளுக்கு விதிக்கப்பட்ட மாற்றுக் கட்டுப்பாடுகள் தொடர்பான ஆய்வுக்கு உட்பட்டன. எந்த நிறுவனத்திடம் எந்தக் குறைபாடு இருந்தது என்பதையோ, தோல்வியடைந்த கட்டுப்பாட்டு அம்சங்களின் விரிவான விவரங்களையோ நிறுவனம் வெளியிடவில்லை. அத்தகைய தகவல்கள் தாக்குதலாளர்களுக்குக் குறிவைக்க வேண்டிய இடங்களை அடையாளம் காண உதவக்கூடும் என்பதே இதற்குக் காரணம்.

எனவே, சில நிர்வாகி கன்சோல்கள் வெளிப்புற இணையத்திலிருந்து அணுகக்கூடிய நிலையில் இருந்தன என்ற கண்டறிதலைப் பெயர்குறிப்பிட்ட எந்தப் பங்கேற்பாளருடனும் தொடர்புபடுத்த முடியாது. சான்றிதழ் பெறாத கிளவுட் சேவைக்கும் இது பொருந்தும். ஆய்வுக்கு உட்படுத்தப்பட்ட நிறுவனங்களின் பட்டியல் ஆய்வின் வரம்பைக் குறிக்கிறது; ஒவ்வொரு குறிப்பிட்ட குறைபாட்டுக்கும் பொறுப்பான நிறுவனத்தை அல்ல.

ஆய்வின் கண்டறிதல்களை நிதிச் சேவைகள் ஆணையத்திடம் தெரிவித்ததாகவும், நெட்வொர்க் இணைப்புகள் மேற்கொள்ளப்படுவதற்கு முன் குறைபாடுகள் சரிசெய்யப்பட்டதை உறுதிப்படுத்தியதாகவும் நிறுவனம் தெரிவித்தது. இந்தக் குறிப்பிட்ட குறைபாடுகளால் வாடிக்கையாளர்களுக்கு இழப்பு, வெற்றிகரமான ஊடுருவல் அல்லது தரவுக் கசிவு ஏற்பட்டதாக ஆய்வு அறிக்கையில் எதுவும் அடையாளம் காணப்படவில்லை.

தற்காலிக அனுமதி விதித்த நிபந்தனைகள்

நிதி நிறுவனங்கள் பொதுவாகத் தங்கள் தரவு மையங்களில் உள்ள உள் வணிக அமைப்புகளையும் தகவல் செயலாக்க அமைப்புகளையும் இணையம் உட்பட வெளிப்புறத் தொடர்பு நெட்வொர்க்குகளிலிருந்து பிரித்திருக்க வேண்டும். ஜூன் 19 நடவடிக்கை, ஒரு குறிப்பிட்ட நோக்கத்துக்காக அந்த எல்லையைத் தற்காலிகமாகத் தளர்த்தியது: உள் அமைப்புகளில் உள்ள பாதிப்புகளைச் சரிபார்க்க வெளிப்புற செயற்கை நுண்ணறிவு மற்றும் சேவையாக வழங்கப்படும் பாதுகாப்பு மென்பொருளைப் பயன்படுத்துவது.

சேவையாக வழங்கப்படும் மென்பொருள் (SaaS) என்பது ஒரு நிறுவனத்தின் சொந்த அமைப்புகளுக்குள் முழுமையாக நிறுவி இயக்குவதற்குப் பதிலாக, வழங்குநரின் இணையவழி கட்டமைப்பின் மூலம் அணுகப்படும் மென்பொருளாகும். உள் தொழில்நுட்பத்தை ஆய்வு செய்ய இதைப் பயன்படுத்தும்போது, நெட்வொர்க் பிரிப்பு விதிகள் பொதுவாகக் கட்டுப்படுத்தும் எல்லையைக் கடக்கும் வகையில் கட்டுப்படுத்தப்பட்ட இணைப்பு தேவைப்படலாம்.

எனவே, இந்த விலக்கு நிபந்தனைகளுக்கு உட்பட்டது. செயற்கை நுண்ணறிவு அல்லது SaaS சேவைகளில் ஏற்படும் பாதுகாப்பு சம்பவங்கள் மற்றும் சேவைத் தடங்கல்களுக்குப் பதிலளிப்பதற்கான நடைமுறைகள் உட்பட, 12 மாற்றுக் கட்டுப்பாடுகளை நிறுவனங்கள் அமைத்து நடைமுறைப்படுத்த வேண்டியிருந்தது. அந்தச் சேவைகளுக்குள் தேவையற்ற தரவுப் பகிர்வு அல்லது செயலாக்கத்தையும் அவை தடுக்க வேண்டியிருந்தது.

இந்த நிபந்தனைகள் பாதுகாப்பாக இணைக்கும் திறனை மட்டும் கவனிக்கவில்லை. வெளிப்புற வழங்குநர் செயல்படாமல் போனால் என்ன செய்வது, வெளிப்புறச் சேவை ஒன்று நிறுவனத்தின் பாதுகாப்புச் செயல்பாடுகளில் இடம்பெற்ற பிறகு தகவல் எவ்வாறு கையாளப்படும் என்பதையும் அவை உள்ளடக்கியிருந்தன. எழுதப்பட்ட பதில் திட்டம் திட்டமிடல் தேவையை நிறைவேற்றலாம்; ஆனால், அதைச் செயல்படுத்த ஊழியர்கள், அமைப்புகள், அணுகல் கட்டுப்பாடுகள் தயாராக உள்ளன என்பதை அது நிரூபிக்காது.

நிர்வாகி கன்சோல்கள் வெளிப்படையாக இருப்பது ஏன் முக்கியம்?

உண்மையில் செயல்படவிருந்த சூழல்களில் கட்டுப்பாடுகள் சரிபார்க்கப்படாதது பொதுவான குறைபாடாக ஆய்வுகளில் தெரியவந்தது. சில நிறுவனங்கள் பாதுகாப்பு நிர்வாக அமைப்புகள் எனப்படும் பாதுகாப்பு நிர்வாகி கன்சோல்களையும் இணையத்திலிருந்து அணுகக்கூடிய நிலையில் விட்டிருந்தன. பாதுகாப்புக் கருவிகளை நிர்வகிக்க இந்த இடைமுகங்கள் பயன்படுத்தப்படுவதால், அவற்றின் அணுகலைக் கட்டுப்படுத்துவது மிகவும் முக்கியமானது.

இணையத்திலிருந்து அணுக முடிவது மட்டுமே தாக்குதலாளர் அங்கீகாரச் சரிபார்ப்பைத் தாண்டினார் அல்லது கட்டுப்பாட்டைப் பெற்றார் என்பதை நிரூபிக்காது. இருப்பினும், அது முக்கியமான நிர்வாக இடைமுகத்துக்குச் செல்ல வெளிப்புற வழியை உருவாக்குகிறது. பாதிக்கப்பட்ட நிறுவனங்களின் எண்ணிக்கை, வெளிப்பாடு நீடித்த காலம், அங்கீகார ஏற்பாடுகள் ஆகியவற்றை ஆய்வு விவரங்கள் குறிப்பிடவில்லை.

பாதுகாப்பு நடவடிக்கைகள் திருத்தப்படும் முன் முழுமையாகச் செயல்படாமல் இருந்திருக்கக்கூடும் என்று சுஞ்சுன்யாங் பல்கலைக்கழகத்தின் தகவல் பாதுகாப்புத் துறைப் பேராசிரியர் யோம் ஹியுங்-யோல் எச்சரித்தார். பாதுகாப்பு மேலாண்மை அமைப்புகளுக்கான அணுகலை அவர் குறிப்பாகக் கடுமையான குறைபாடாகச் சுட்டிக்காட்டினார்:

பாதுகாப்பு நிர்வாகி அமைப்புக்கான வெளிப்புற அணுகலைக் கட்டுப்படுத்தத் தவறுவது மிகவும் தீவிரமான விஷயம்.

அனுமதிக்கப்பட்ட இணைப்புகள் ஏற்படுவதற்கு முன்பே குறைபாடுகள் சரிசெய்யப்பட்டதாக நிறுவனம் தெரிவித்துள்ளது. உள் நெட்வொர்க்குகள் உண்மையில் எந்த அளவுக்கு வெளிப்பட்டன என்பது குறித்து இதனால் முடிவுக்கு வர முடியாது. அதேவேளை, குறிப்பிடத்தக்க விதிமுறை இணக்கக் கவலை நீடிக்கிறது: விலக்கை நியாயப்படுத்த வேண்டிய கட்டுப்பாடுகள் ஆய்வாளர்கள் சரிபார்த்தபோது முழுமையாக நடைமுறைப்படுத்தப்படவில்லை.

தனித்த ஊடுருவல்களுக்கு மத்தியில் இரண்டாம் கட்டம் நிறுத்திவைப்பு

அடுத்த நிறுவனக் குழுவை அக்டோபர் 7 அன்று தேர்ந்தெடுக்க நிதிச் சேவைகள் ஆணையம் திட்டமிட்டிருந்தது. அந்த ஒத்திவைப்பு அக்டோபர் 6 அன்று தெரிவிக்கப்பட்டது. சமீபத்திய ஹேக்கிங் மற்றும் தரவுக் கசிவு சம்பவங்களைக் கையாளவும், திட்டத்தை விரிவுபடுத்துவதற்கு முன் நிலவரத்தைக் கண்காணிக்கவும் வளங்களைச் செலுத்த வேண்டியிருப்பதாக அதிகாரிகள் காரணம் தெரிவித்தனர்.

செப்டம்பர் 27 முதல் கேபி குக்மின் வங்கி, ஷின்ஹான் வங்கி, ஹனா வங்கி, பிஎன்கே பூசான் வங்கி, யேகராம் சேமிப்பு வங்கி, வெல்கம் சேமிப்பு வங்கி, ஹூண்டாய் கேபிடல் உள்ளிட்ட நிறுவனங்களில் சம்பவங்கள் பதிவாகியுள்ளன. அந்தச் சம்பவங்கள் தற்காலிக நெட்வொர்க் பிரிப்பு விலக்குகளால் ஏற்பட்டன என்பதை அறிக்கைகள் நிரூபிக்கவில்லை.

ஆய்வுக்குழுவில் இடம்பெற்ற ஷின்ஹான் வங்கி மற்றும் ஹனா வங்கி, சம்பவங்கள் பதிவான நிறுவனங்களின் பட்டியலிலும் உள்ளன. இந்த ஒற்றுமை காரணத் தொடர்புக்கான ஆதாரம் அல்ல. கூடுதல் கண்டறிதல்கள் அவற்றை இணைக்கும் வரை, பாதுகாப்பு ஆய்வையும் பரந்த அளவிலான ஊடுருவல் தடுப்பு நடவடிக்கைகளையும் தனித்தனியாகப் பார்க்க வேண்டும்.

அனுமதி, ஆய்வு, விரிவாக்க ஒத்திவைப்பு ஆகியவற்றின் வரிசையை முக்கியத் தேதிகள் காட்டுகின்றன:

• ஜூன் 19: வெளிப்புற செயற்கை நுண்ணறிவு மற்றும் பாதுகாப்பு SaaS பயன்பாட்டுக்காக 10 நிறுவனங்களுக்கு ஆணையம் தற்காலிக விலக்குகளை வழங்கியது.
• ஜூலை நடுப்பகுதி முதல் செப்டம்பர் தொடக்கம் வரை: நிதிப் பாதுகாப்பு நிறுவனம் நிறுவனங்களை ஆய்வு செய்து, நெட்வொர்க் இணைப்புகள் ஏற்படுவதற்கு முன் குறைபாடுகளைச் சரிசெய்யக் கோரியது.
• செப்டம்பர் 14: திட்டமிடப்பட்ட இரண்டாம் கட்டத்துக்கான விண்ணப்பங்கள் முடிவடைய வேண்டிய நாள்.
• செப்டம்பர் 27 முதல்: நிதித் துறையில் தொடர்ச்சியான ஊடுருவல்கள் மற்றும் தரவுக் கசிவுகள் பதிவாகின.
• அக்டோபர் 6: அக்டோபர் 7ஆம் தேதிக்கான தேர்வு ஒத்திவைக்கப்பட்டதாக அறிவிக்கப்பட்டது.

போதுமான பதிலளிப்புத் திறன் கொண்ட நிறுவனங்களுக்கான விதிகளைத் தளர்த்துவது குறித்த தங்கள் நிலைப்பாட்டில் இந்தத் தாமதம் மாற்றத்தை ஏற்படுத்தவில்லை என்று அதிகாரிகள் தெரிவித்தனர். மாற்றுத் தேர்வு தேதி எதுவும் அறிவிக்கப்படவில்லை.

விரிவாக்கம் சிறிய நிறுவனங்களையும் சென்றடையும்

திட்டமிடப்பட்ட இரண்டாம் கட்டம், மிகப்பெரிய நிதி நிறுவனங்களுக்கு அப்பால் வங்கி அல்லாத மேலும் பல நிறுவனங்களுக்கும் மின்னணு நிதிச் சேவை வழங்குநர்களுக்கும் தகுதியை விரிவுபடுத்தியிருக்கும். நிதிச் சேவைகள் ஆணையம், நிதி மேற்பார்வை சேவை, நிதிப் பாதுகாப்பு நிறுவனம் ஆகியவை பங்கேற்ற எல்லைப்புற செயற்கை நுண்ணறிவு நிலவரப் பதிலளிப்புப் பணிக்குழுவின் ஐந்தாவது கூட்டத்துக்குப் பிறகு அதன் விரிவான நடவடிக்கைகள் உறுதிப்படுத்தப்பட்டன.

தகுதியுள்ள விண்ணப்பதாரர் நிறுவனங்களின் எண்ணிக்கை 49லிருந்து 75ஆக, அதாவது 26 நிறுவனங்கள் அல்லது சுமார் 53 சதவீதம் அதிகரிக்கத் திட்டமிடப்பட்டது. கிடைக்கக்கூடிய இடங்கள் 10லிருந்து அதிகபட்சம் 15ஆக, 50 சதவீதம் அதிகரிக்கவிருந்தன. இந்த எண்ணிக்கைகள் தகுதி மற்றும் திட்டமிடப்பட்ட தேர்வுத் திறனைக் குறிக்கின்றன; உண்மையில் பெறப்பட்ட விண்ணப்பங்களின் எண்ணிக்கையை அல்ல.

நிதி நிறுவனங்களுக்கு, குறைந்தபட்ச சொத்து மதிப்பு 10 டிரில்லியன் வோனிலிருந்து 2 டிரில்லியன் வோனாகக் குறைக்கப்படவிருந்தது. பணியாளர் எண்ணிக்கை வரம்பும் 1,000லிருந்து 300 நிரந்தர ஊழியர்களாகக் குறைக்கப்படவிருந்தது. மின்னணு நிதிச் சேவை வழங்குநர்களுக்கு, ஆண்டுதோறும் குறைந்தது 2 டிரில்லியன் வோன் மதிப்பிலான மின்னணு நிதிப் பரிவர்த்தனைகளும், மொத்த வருவாயில் 10 சதவீதத்துக்கும் அதிகமான தொடர்புடைய வருவாயும் தேவைப்பட்டிருக்கும்.

இரு வகை நிறுவனங்களிலும், தலைமைத் தகவல் பாதுகாப்பு அதிகாரி அதே நேரத்தில் பிற தகவல் தொழில்நுட்பப் பொறுப்புகளை வகிக்கக் கூடாது. மாற்றுக் கட்டுப்பாடுகளை நடைமுறைப்படுத்திய பிறகு, தேர்ந்தெடுக்கப்பட்ட நிறுவனங்களுக்கு நெட்வொர்க் பிரிப்பு விதிகளை அமல்படுத்தாமல் இருப்பதற்கான ஓராண்டு கடிதம் வழங்கப்படவிருந்தது.

இந்த விரிவாக்கத்தில் நடைமுறைப்படுத்தும் திறன் முக்கியமானது என்பதை ஆய்வு முடிவுகள் காட்டுகின்றன. குறைந்த அளவுத் தகுதி வரம்பு மேலும் பல நிறுவனங்கள் பங்கேற்க வழிவகுக்கிறது; ஆனால், செயல்படும் பாதுகாப்பு நடவடிக்கைகளை நிரூபிக்க வேண்டிய அவசியத்தை அது நீக்காது. சோதனை முன்னேற்றம் மற்றும் தேவையைப் பொறுத்து அடுத்தடுத்த கட்டங்களையும் நிரந்தரக் கட்டமைப்பையும் பரிசீலிக்க ஒழுங்குமுறை அமைப்புகள் திட்டமிட்டிருந்தன. அந்த முடிவுகளை இந்த ஒத்திவைப்பு தீர்மானிக்கவில்லை.

கொரியா ஏன் நேரடி நெட்வொர்க் பிரிப்பை மறுபரிசீலனை செய்கிறது?

கொரியா மூலதனச் சந்தை நிறுவனத்தின் நெட்வொர்க் பிரிப்பு அறிக்கை, 24-26ஆம் இலக்க ஆய்வு அறிக்கை, இந்தக் கொள்கை முரண்பாட்டைப் பதிவு செய்கிறது. ஆய்வாளர் ஹ்வாங் சே-வூன் எழுதிய இந்த அறிக்கை 2024 நவம்பர் 22 அன்று வெளியிடப்பட்டது. பாதுகாப்புப் பலன்கள், செயல்பாட்டுச் செலவுகள் ஆகியவற்றுடன் கிளவுட் மென்பொருள் மற்றும் உருவாக்கும் செயற்கை நுண்ணறிவின் வளர்ந்து வரும் பயன்பாட்டையும் இது ஆராய்கிறது.

2013 மார்ச் 20 அன்று ஏற்பட்ட வங்கிச் சேவைத் தடங்கல்களே இந்தக் கொள்கையின் தொடக்கம் என அறிக்கை குறிப்பிடுகிறது. அப்போது பாதுகாப்புத் திருத்தங்களாக வேடமிட்ட தீங்கிழைக்கும் குறியீடு, வைரஸ் தடுப்பு மென்பொருள் புதுப்பிப்பு சேவையகங்கள் வழியாகப் பரவியது. 2013 ஜூலையில் அதிகாரிகள் விரிவான நிதிப் பாதுகாப்பு நடவடிக்கைகளை அறிவித்ததாகவும், 2015இல் விதிமுறைகளில் நெட்வொர்க் பிரிப்பு முறையாக நிறுவப்பட்டதாகவும் அது கூறுகிறது.

டிஜிட்டல் நிதிச் சேவைகளின் அளவு அந்தப் பதிலை விளக்க உதவுகிறது. 2013இல் அனைத்து நிதிப் பரிவர்த்தனைகளில் 87.7 சதவீதம் மின்னணுப் பரிவர்த்தனைகளாக இருந்தன. இணையம் மற்றும் மொபைல் வங்கிச் சேவைகளின் சராசரி தினசரிப் பரிவர்த்தனைத் தொகை 33 டிரில்லியன் வோனைத் தாண்டியிருந்தது என்று அறிக்கை தெரிவிக்கிறது.

நேரடி நெட்வொர்க் பிரிப்பு என்பது தனித்த சாதனங்கள் அல்லது கட்டமைப்புகளைப் பயன்படுத்தி இணையச் செயல்பாடுகளை உள் பணிச் செயல்பாடுகளிலிருந்து பிரிப்பதாகும். தர்க்கரீதியான பிரிப்பு என்பது பகிரப்பட்ட நேரடி கட்டமைப்பில் தனித்த சூழல்களைப் பேண மெய்நிகராக்கம் போன்ற தொழில்நுட்பங்களைப் பயன்படுத்துகிறது. நெட்வொர்க் பிரிவாக்கம் அமைப்புகளைப் பகுதிகளாகப் பிரித்து அவற்றுக்கிடையேயான போக்குவரத்தைக் கட்டுப்படுத்துகிறது; எல்லா இணைப்புகளையும் அவசியம் தடை செய்வதில்லை.

உருவாக்கும் செயற்கை நுண்ணறிவு உட்பட நவீன மென்பொருள்களில் பெரும்பாலானவை வெளிப்புற கிளவுட் சேவைகள் வழியாக வழங்கப்படுகின்றன; அதேவேளை, முக்கியமான நிதித் தரவுகள் பாதுகாக்கப்பட்ட உள் நெட்வொர்க்குகளில் உள்ளன என்ற நடைமுறை முரண்பாட்டை ஹ்வாங்கின் அறிக்கை சுட்டிக்காட்டுகிறது. செலவைக் குறைக்கவோ பணிச் செயல்முறைகளை மேம்படுத்தவோ உதவக்கூடிய கருவிகளாக இருந்தாலும், கடுமையான பிரிப்பு ஆராய்ச்சி, மென்பொருள் உருவாக்கம், சந்தா மென்பொருளின் வழக்கமான பயன்பாடு ஆகியவற்றுக்குத் தடையாக இருக்கலாம் என அது விவரிக்கிறது.

சர்வதேச ஒப்பீடுகள் கட்டுப்படுத்தப்பட்ட இணைப்புகளுக்கு ஆதரவாக உள்ளன

கொரியா மூலதனச் சந்தை நிறுவனத்தின் அறிக்கை, அமெரிக்கா, ஐரோப்பா, ஆஸ்திரேலியா ஆகியவற்றின் அணுகுமுறைகளை ஒப்பிடுகிறது. நேரடி துண்டிப்பை விதிப்பதற்கும், தகவலைப் பாதுகாக்கும் பொறுப்பை நிறுவனங்களிடம் வைத்தபடி பாதுகாப்பு வடிவமைப்புகளைத் தேர்ந்தெடுக்க அவற்றை அனுமதிப்பதற்கும் இடையிலான வேறுபாடே அதன் மையக் கருத்தாகும்.

அமெரிக்காவில், நிதி நிறுவனங்கள் ஆய்வுக் குழுவின் தகவல் பாதுகாப்புக் கையேடு நம்பகமான மற்றும் நம்பகமற்ற நெட்வொர்க் பகுதிகள், அவற்றுக்கு இடையிலான கட்டுப்பாடுகள், துல்லியமான நெட்வொர்க் மற்றும் தரவு ஓட்ட வரைபடங்கள், பல அடுக்கு கட்டுப்பாடுகள் ஆகியவற்றை விவரிக்கிறது. ஒரே மாதிரியான நேரடி நெட்வொர்க் பிரிப்பு முறையை இந்த அணுகுமுறை கட்டாயப்படுத்தவில்லை என்று அறிக்கை கண்டறிகிறது.

ஐரோப்பாவைப் பொறுத்தவரை, பொது தரவுப் பாதுகாப்பு ஒழுங்குமுறை, இரண்டாவது கட்டணச் சேவைகள் உத்தரவு, ஐரோப்பிய வங்கியியல் ஆணையத்தின் வழிகாட்டுதல் ஆகியவற்றை அறிக்கை ஆய்வு செய்கிறது. அதில் விவரிக்கப்பட்ட வழிகாட்டுதல், நிர்வாகப் பொறுப்பு, வெளிப்புறத் தொழில்நுட்ப வழங்குநர்களுக்கான கட்டுப்பாடுகள், வரையறுக்கப்பட்ட அணுகல் உரிமைகள், அணுகல் கட்டுப்பாடுகளின் காலமுறை கண்காணிப்பு மற்றும் சோதனை ஆகியவற்றைக் கோருகிறது.

ஆஸ்திரேலிய ஒப்பீட்டில், ஆஸ்திரேலிய நிதி மேற்பார்வை ஆணையத்தின் வழிகாட்டுதல்களும் ஆஸ்திரேலிய இணையப் பாதுகாப்பு மையத்தின் ஆலோசனைகளும் பயன்படுத்தப்பட்டுள்ளன. நெட்வொர்க் பிரிவாக்கத்தைப் பல பாதுகாப்புக் கருவிகளில் ஒன்றாகவே இவை கருதுகின்றன. தாக்குதலாளர் வெளிப்புற எல்லையைத் தாண்டிவிட்டார் என்பதற்காக, முழு உள் நெட்வொர்க்கையும் ஒரே மாதிரியாக நம்பகமானதாகக் கருதக் கூடாது என்றும் அவை எச்சரிக்கின்றன.

2022இல் கணக்கெடுப்பில் பங்கேற்ற வங்கிகளில் 82 சதவீதம், தங்கள் முக்கிய மெயின்ஃபிரேம் கணினிகளில் குறைந்தது பாதியை கிளவுடுக்கு மாற்றியிருந்ததாகவோ மாற்றத் திட்டமிட்டிருந்ததாகவோ அறிக்கை குறிப்பிடுகிறது. 2023ஆம் ஆண்டின் தனிக் கணக்கெடுப்பில், உலகளாவிய நிதி நிறுவனங்களில் 66 சதவீதம் வளர்ச்சி மற்றும் புதுமைக்காக கிளவுடுக்கு மாறும் நடவடிக்கையில் இருந்ததாகக் கண்டறியப்பட்டது. இவை வேறுபட்ட கணக்கெடுப்பு அளவீடுகள்; ஆண்டுகளுக்கு இடையே பயன்பாடு குறைந்துவருவதாகக் காட்டும் போக்கு அல்ல.

கொரிய ஆய்வுகளுக்கான குறிப்பிட்ட படிப்பினையை இந்த ஒப்பீடு வழங்குகிறது: நெட்வொர்க் வடிவமைப்பில் கூடுதல் தேர்வு வழங்கப்படுவது, அணுகல் கட்டுப்பாடுகளும் சோதனைகளும் உண்மையில் செயல்படுவதைச் சார்ந்துள்ளது. படிப்படியாகச் சீர்திருத்தம் மேற்கொள்வது, தரவுகளை வகைப்படுத்துவதற்கான தரநிலைகள், சம்பவங்களுக்கான வலுவான பொறுப்புக்கூறல், பாதுகாப்பு முதலீடு, திருத்த நடவடிக்கைகளுடன் கூடிய வழக்கமான மேற்பார்வை ஆய்வுகள் ஆகியவற்றை அறிக்கை பரிந்துரைக்கிறது.

தனியான SaaS விலக்கில் தரவுக் கட்டுப்பாடுகள் தொடர்கின்றன

தனியான தளர்வு நடவடிக்கை ஒன்று, நிதி நிறுவனங்களும் மின்னணு நிதிச் சேவை வழங்குநர்களும் சில நிர்வாக SaaS கருவிகளை நிதி ஒழுங்குமுறை சோதனைத் திட்டத்தில் சேராமல் பயன்படுத்த அனுமதிக்கிறது. இந்த வழிமுறையை ஆய்வுக்கு உட்பட்ட பத்து நிறுவனங்களுக்கு வழங்கப்பட்ட தற்காலிக செயற்கை நுண்ணறிவு பாதுகாப்புச் சோதனை விலக்குகளுடன் குழப்பக்கூடாது.

கிளவுட் கம்ப்யூட்டிங் மேம்பாடு மற்றும் அதன் பயனர்களைப் பாதுகாப்பதற்கான சட்டத்தின் அமலாக்க ஆணையில் குறிப்பிடப்பட்ட SaaS சேவைகளுக்கு இந்த விலக்கு பொருந்தும். மின்னணு நிதிப் பரிவர்த்தனைச் சட்டம் மற்றும் தொடர்புடைய மேற்பார்வை விதிகளின் கீழான நெட்வொர்க் பிரிப்பு தேவைகள் தொடர்பாக இது வழங்கப்பட்டுள்ளது.

தனிப்பட்ட அடையாளத் தகவல் அல்லது தனிப்பட்ட கடன் தகவல் தொடர்பான செயல்பாடுகளுக்கு இந்த விலக்கு பொருந்தாது. அடையாளம் மறைக்கப்பட்ட தனிப்பட்ட தரவைப் பயன்படுத்தும் SaaS செயல்பாடுகளுக்கு இன்னும் சோதனைத் திட்ட ஒப்புதல் தேவை. அடையாளம் காணக்கூடிய விவரங்களுக்குப் பதிலாக வேறு விவரங்களைப் பயன்படுத்துவதே அடையாளமறைப்பு; ஆனால் அதனால் தகவல் கட்டாயம் அடையாளம் காண முடியாததாகிவிடும் என்பதில்லை.

விண்ணப்பங்கள் நிதிப் பாதுகாப்பு நிறுவனத்தின் ஆய்வுக்கு உட்பட வேண்டும். நிறுவனங்கள் அணுகல் சாதனங்களுக்கான பாதுகாப்புக் கட்டுப்பாடுகளைப் பேணுவதோடு, ஆறு மாதங்களுக்கு ஒருமுறை இணக்கக் கட்டுப்பாடுகளை ஆய்வு செய்து, அதன் முடிவுகளைத் தலைமைத் தகவல் பாதுகாப்பு அதிகாரிகளிடம் தெரிவிக்க வேண்டும். நிதித் தொழில்நுட்பப் பாதுகாப்பு, SaaS அபாயங்கள், அவற்றைச் சமாளிக்கும் நடவடிக்கைகள் குறித்து விளக்கும் கையேட்டையும் நிறுவனம் வெளியிட்டது.

இரு வழிமுறைகளையும் ஒன்றாகப் பார்க்கும்போது, ஒழுங்குமுறைத் தளர்வு கட்டுப்பாடற்றது அல்ல; நிபந்தனைகளுக்கு உட்பட்டது என்பது தெரிகிறது. தற்காலிகச் சோதனைத் திட்டத்தில் இணைப்புக்கு முன் மாற்றுக் கட்டுப்பாடுகள் தேவை. நிர்வாக SaaS வழிமுறையில் தரவுத் தொடர்பான விலக்குகள், முன்கூட்டிய ஆய்வு, தொடர்ச்சியான மதிப்பாய்வுகள் ஆகியவை நீடிக்கின்றன.

ஒவ்வொரு நிறுவனத்திடமும் எந்த ஆய்வுக் குறைபாடு இருந்தது, அவை எவ்வாறு ஏற்பட்டன, ஒத்திவைக்கப்பட்ட தேர்வு எப்போது மீண்டும் தொடங்கும் என்பவை உடனடியாகத் தீர்க்கப்படாத கேள்விகளாக உள்ளன. இணைப்புகள் ஏற்படுவதற்கு முன்பே குறைபாடுகள் சரிசெய்யப்பட்டன என்ற நிறுவனத்தின் உறுதிப்படுத்தலே சம்பவம் குறித்த மிகத் தெளிவான வரம்பை வழங்குகிறது. ஆய்வாளர்கள் நடைமுறைப்படுத்தச் சொல்ல வேண்டிய திட்டங்களைத் தயாரிப்பதற்குப் பதிலாக, ஆய்வுக்குப் பிறகும் செயல்படும் கட்டுப்பாடுகளை நிறுவனங்கள் தொடர்ந்து பேண முடியுமா என்பதே பரந்த அளவிலான சோதனையாகும்.

முக்கிய அம்சங்கள்

• செயற்கை நுண்ணறிவு மற்றும் பாதுகாப்பு SaaS சோதனைக்காக ஜூன் 19 அன்று 10 நிதி நிறுவனங்களுக்கு தற்காலிக நெட்வொர்க் பிரிப்பு விலக்குகள் வழங்கப்பட்டன.
• ஜூலை நடுப்பகுதி முதல் செப்டம்பர் தொடக்கம் வரை நடந்த ஆய்வுகளில், தேவையான பல பாதுகாப்பு நடவடிக்கைகள் இன்னும் திட்டமிடல் கட்டத்திலேயே இருந்தது தெரியவந்தது.
• சில பாதுகாப்பு மேலாண்மை கன்சோல்களை இணையத்திலிருந்து அணுக முடிந்தது; ஒரு கிளவுட் சேவைக்குப் பாதுகாப்புச் சான்றிதழ் இல்லை.
• உள் மற்றும் வெளிப்புற நெட்வொர்க்குகள் இணைக்கப்படுவதற்கு முன்பே அனைத்துக் குறைபாடுகளும் சரிசெய்யப்பட்டதாக நிதிப் பாதுகாப்பு நிறுவனம் தெரிவித்தது.
• மேலும் 15 நிறுவனங்கள் வரை தேர்ந்தெடுக்கவிருந்த அக்டோபர் 7ஆம் தேதித் தேர்வு, தனித்த ஊடுருவல்கள் மற்றும் தரவுக் கசிவுகளுக்கு மத்தியில் ஒத்திவைக்கப்பட்டது.
• திட்டமிடப்பட்ட விரிவாக்கம் தகுதியுள்ள விண்ணப்பதாரர் நிறுவனங்களின் எண்ணிக்கையை 49லிருந்து 75ஆக உயர்த்தவிருந்தது.
• தனியான நிர்வாக SaaS விலக்கில் தனிப்பட்ட தரவுக்கான கட்டுப்பாடுகள், நிறுவனத்தின் ஆய்வு, ஆறு மாதங்களுக்கு ஒருமுறை பாதுகாப்பு மதிப்பாய்வு ஆகியவை தொடர்கின்றன.