ความมั่นคงปลอดภัยของข้อมูลสารสนเทศ

ในสภาพแวดล้อมทางการเงินดิจิทัล ข้อมูลเป็นทรัพย์สินสำคัญขององค์กร และหากไม่ได้รับการจัดการอย่างเหมาะสม อาจก่อให้เกิดความเสี่ยงทางกฎหมายและการเงินที่คุกคามความอยู่รอดขององค์กรได้

① การเพิ่มขึ้นและความเสี่ยงจากการโจมตีทางไซเบอร์

② ความเสียหายทางเศรษฐกิจและความน่าเชื่อถือขององค์กรที่ลดลง

③ การปฏิบัติตามกฎระเบียบและความรับผิดทางกฎหมาย

มัลแวร์อาจ ทำให้ผู้ใช้ที่ไม่ได้รับอนุญาตเข้าถึงระบบการเงินหรือเครือข่ายภายใน และสร้างความเสียหายต่อข้อมูลบัญชีลูกค้า บันทึกธุรกรรม และเอกสารภายในได้

ในด้านการให้บริการทางการเงิน มัลแวร์ส่งผลโดยตรงต่อความเชื่อมั่นของลูกค้าและเสถียรภาพของบริการผ่านการยึดบัญชีผู้ใช้ ระบบขัดข้อง หรือธุรกรรมล่าช้า เป็นต้น

แรนซัมแวร์ทำให้อุปกรณ์ขององค์กรติดมัลแวร์และเข้ารหัสข้อมูลเพื่อจำกัดการเข้าถึง

ในสภาพแวดล้อมการให้บริการทางการเงิน หากข้อมูลธุรกรรมของลูกค้าและบันทึกทางการเงินถูกเข้ารหัส การดำเนินงานอาจหยุดชะงักได้ทันที

แม้จะยอมทำตามข้อเรียกร้องให้ชำระเงิน ก็ยังมีความเสี่ยงที่ข้อมูลจะสูญหาย

การโจมตีแบบฟิชชิงเป็นความพยายามลักลอบนำข้อมูลเข้าสู่ระบบและข้อมูลทางการเงินของพนักงานหรือลูกค้า โดยปลอมตัวเป็นสถาบันหรือผู้ให้บริการทางการเงิน

ผู้โจมตีอาจปลอมตัวเป็นผู้ใช้ที่ชอบด้วยกฎหมายเพื่อพยายามเข้าถึงบัญชี ทำให้ข้อมูลรั่วไหล หรือบิดเบือนธุรกรรม ซึ่งเป็นภัยต่อความน่าเชื่อถือและความปลอดภัยของบริการทางการเงินดิจิทัล

การโจมตีแบบ DDoS ทำให้ทรัพยากรของเว็บไซต์ เซิร์ฟเวอร์ และแอปพลิเคชันทางการเงินไม่สามารถทำงานได้ จึงขัดขวางการให้บริการ

ในสภาพแวดล้อมทางการเงินดิจิทัล การโจมตีดังกล่าวอาจทำให้ธุรกรรมล่าช้า บริการธนาคารผ่านอุปกรณ์เคลื่อนที่หยุดชะงัก และเกิดข้อร้องเรียนจากลูกค้า จึงจำเป็นต้องมีการเตรียมความพร้อมและระบบรับมือไว้ล่วงหน้า

องค์กรในสภาพแวดล้อมทางการเงินดิจิทัลจำเป็นต้องเตรียมความพร้อมล่วงหน้าเพื่อคุ้มครองข้อมูลและระบบธุรกรรมทางการเงินอย่างปลอดภัย

เพื่อการดังกล่าว องค์กรควรปรับปรุงแผนการบริหารจัดการภายในและนโยบายการประมวลผลข้อมูลส่วนบุคคลตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี รัฐบัญญัติของสาธารณรัฐเกาหลีว่าด้วยการใช้และคุ้มครองข้อมูลเครดิต และกฎหมายอื่นที่เกี่ยวข้อง พร้อมทั้งตรวจสอบเป็นประจำให้สอดคล้องกับการดำเนินงานจริง

การแยกเครือข่ายทางการเงิน การตรวจสอบความปลอดภัยของบริการคลาวด์ และการบริหารความสัมพันธ์ในการมอบหมายและรับมอบหมายงานก็เป็นองค์ประกอบสำคัญ โดยต้องทำข้อตกลงการประมวลผลข้อมูล (DPA) กับผู้ให้บริการภายนอกหรือผู้รับมอบหมายงาน เพื่อกำหนดความรับผิดและขอบเขตการประมวลผลให้ชัดเจน

มาตรการดังกล่าวช่วยให้องค์กรสามารถพิสูจน์ได้ว่าได้ปฏิบัติหน้าที่ในการใช้ความระมัดระวังตามสมควรเมื่อเกิดเหตุการณ์ขึ้น

องค์กรควรลดจุดอับด้านความปลอดภัยในการดำเนินงานประจำวันให้เหลือน้อยที่สุดด้วยการติดตามตรวจสอบอย่างต่อเนื่อง

ควรใช้หลักการให้สิทธิขั้นต่ำตามหน้าที่ ตรวจสอบบัญชีและบันทึกการเข้าถึงเป็นประจำ และจัดให้มีระบบเพิกถอนสิทธิการเข้าถึงของผู้ลาออกหรือผู้ย้ายหน่วยงานโดยเร็ว

นอกจากนี้ ในระหว่างการดำเนินธุรกิจใหม่หรือการใช้ประโยชน์จากข้อมูล ควรตรวจสอบล่วงหน้าถึงความเป็นไปได้ในการระบุตัวบุคคลอีกครั้งเมื่อมีการเชื่อมโยงข้อมูล เพื่อลดความเสี่ยงทางกฎหมาย และป้องกันการรั่วไหลของข้อมูลจากความผิดพลาดของบุคลากรด้วยการจัดอบรมด้านความปลอดภัยแก่พนักงานเป็นประจำ การจัดทำหนังสือรับรอง และการปฏิบัติตามระเบียบภายใน

หากเกิดเหตุด้านความมั่นคงปลอดภัยของข้อมูลสารสนเทศ องค์กรควรมีระบบรับมือที่ดำเนินการได้โดยเร็วเพื่อลดความรับผิดทางกฎหมายและความเสียหาย

เมื่อเกิดการรั่วไหลของข้อมูลหรือการแฮ็ก ต้องดำเนินกระบวนการ รายงานต่อหน่วยงานกำกับดูแลด้านการเงินภายใน 72 ชั่วโมงตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลีและแจ้งให้ลูกค้าทราบโดยเร็ว ทั้งยังควรจัดเก็บบันทึกและรายละเอียดการตรวจสอบที่เกี่ยวข้องไว้อย่างเป็นระบบ เพื่อพิสูจน์ว่าองค์กรได้ดำเนินมาตรการรักษาความปลอดภัยตามสมควรในขณะเกิดเหตุ

การดำเนินการดังกล่าวอาจเป็นเหตุประกอบการลดเงินเพิ่มเชิงลงโทษทางปกครองหรือการยกเว้นความรับผิดเมื่อไม่มีความประมาท และองค์กรควรสามารถรับมือกับกระบวนการทางกฎหมายได้อย่างรวดเร็ว เช่น การร้องทุกข์ทางอาญาต่อผู้โจมตีจากภายนอกและการให้ความร่วมมือในการสืบสวน การดำเนินการต่อคณะกรรมการไกล่เกลี่ยข้อพิพาทเกี่ยวกับข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี และการรับมือคดีแบบกลุ่ม

ระบบรับมือด้านความมั่นคงปลอดภัยของข้อมูลสารสนเทศไม่ได้สิ้นสุดเมื่อจัดทำขึ้นครั้งแรก แต่ต้องได้รับการปรับปรุงอย่างต่อเนื่อง

ภายหลังเกิดเหตุ ควรวิเคราะห์สาเหตุและนำมาตรการปรับปรุงเพื่อป้องกันการเกิดซ้ำไปใช้กับนโยบายและขั้นตอนการดำเนินงาน

การเสริมสร้างศักยภาพในการรับมือภายในด้วยการตรวจสอบความปลอดภัยและการฝึกซ้อมสถานการณ์จำลองเป็นประจำ ช่วยให้องค์กรคุ้มครองข้อมูลลูกค้าและธุรกรรมทางการเงินในสภาพแวดล้อมทางการเงินดิจิทัลได้อย่างมีเสถียรภาพ

ตรวจสอบว่ากิจกรรมที่เกี่ยวข้องกับข้อมูลทั้งหมดขององค์กร เช่น ระบบธุรกรรมทางการเงิน การประมวลผลข้อมูลส่วนบุคคล บริการคลาวด์ และงานที่มอบหมายให้บุคคลภายนอก เป็นไปตามรัฐบัญญัติคุ้มครองข้อมูลส่วนบุคคลของสาธารณรัฐเกาหลี รัฐบัญญัติของสาธารณรัฐเกาหลีว่าด้วยการใช้และคุ้มครองข้อมูลเครดิต รัฐบัญญัติธุรกรรมทางการเงินอิเล็กทรอนิกส์ของสาธารณรัฐเกาหลี และกฎหมายอื่นที่เกี่ยวข้องหรือไม่

การตรวจสอบดังกล่าวช่วยระบุความเสี่ยงทางกฎหมายล่วงหน้าและจัดเตรียมมูลเหตุสำหรับการรับมือเมื่อมีการตรวจสอบ การสอบสวน หรือข้อพิพาทโดยสำนักงานกำกับดูแลทางการเงินของสาธารณรัฐเกาหลี

ตรวจสอบการออกแบบนโยบายและความเหมาะสมในการดำเนินงาน เช่น นโยบายการประมวลผลข้อมูลส่วนบุคคล แผนการบริหารจัดการภายใน และระบบธรรมาภิบาลข้อมูล พร้อมให้คำปรึกษาเพื่อปรับปรุงให้สอดคล้องกับการดำเนินงานจริง

นอกจากนี้ ยังตรวจสอบความเหมาะสมทางกฎหมายของระเบียบการจัดการข้อมูล เช่น การจำแนก การจัดเก็บ การเข้าถึง และการลบข้อมูล เพื่อสนับสนุนให้องค์กรสามารถพิสูจน์ได้ว่าได้ปฏิบัติหน้าที่ในการใช้ความระมัดระวังตามสมควรเมื่อมีการตรวจสอบหรือการสอบสวน

เมื่อเกิดเหตุข้อมูลรั่วไหล การแฮ็ก แรนซัมแวร์ หรือ DDoS จะออกแบบขั้นตอนการรายงานตามหน้าที่ทางกฎหมาย การแจ้งลูกค้า และการรายงานต่อหน่วยงานกำกับดูแลด้านการเงิน พร้อมตรวจสอบระบบรับมือผ่านการฝึกซ้อมสถานการณ์จำลอง

สนับสนุนให้จัดเก็บบันทึกเหตุการณ์และบันทึกระบบอย่างเป็นระบบ เพื่อใช้เป็นมูลเหตุในการต่อสู้ทางกฎหมายเกี่ยวกับการลดเงินเพิ่มเชิงลงโทษทางปกครอง การยกเว้นความรับผิดเมื่อไม่มีความประมาท และการรับมือคดีแบบกลุ่ม เป็นต้น

ออกแบบกิจกรรมป้องกันความผิดพลาดของบุคลากร เช่น การอบรมด้านความปลอดภัยแก่พนักงานเป็นประจำ การขอให้ลงนามหนังสือรับรอง และการทดสอบฟิชชิงจำลอง พร้อมจัดทำความรับผิดด้านความปลอดภัยเป็นลายลักษณ์อักษร

ภายหลังเกิดเหตุ จะวิเคราะห์สาเหตุและนำมาตรการป้องกันการเกิดซ้ำไปใช้กับนโยบายและขั้นตอนการดำเนินงาน รวมทั้งสนับสนุนให้องค์กรให้บริการทางการเงินดิจิทัลได้อย่างมีเสถียรภาพผ่านกิจกรรมปรับปรุงอย่างต่อเนื่อง เช่น การตรวจสอบความปลอดภัยเป็นประจำ การตรวจสอบโดยบุคคลภายนอก และการเตรียมขอการรับรอง