Etelä-Korean CBDC-pilotti eteni ilman riippumatonta tietoturva-auditointia
- Etelä-Korean ensimmäinen CBDC-pilotti eteni ilman valtion riippumatonta tietoturva-auditointia.
- Osallistuneet pankit Woori ja NongHyup arvioivat osin itse testaamiensa järjestelmien turvallisuuden.
- Keskuspankki piti lisätarkastuksia tarpeettomina, koska ennakkotarkastukset oli jo tehty.
- Aukko osuu hetkeen, jolloin maa laajentaa CBDC-, talletustoken- ja stablecoin-työtään.
Rahoitusvalvonnan asiakirjat paljastavat, että kokeiluun osallistuneet pankit arvioivat itse testaamiensa järjestelmien turvallisuuden. Kysymys ei koske tekniikkaa vaan sitä, kuka keskuspankkirahan luotettavuuden takaa.
Etelä-Korean ensimmäinen keskuspankkirahan kokeilu vietiin läpi ilman valtion riippumatonta tietoturvatarkastusta. Osallistuneet pankit nojasivat pääosin omiin ennakkotarkastuksiinsa ennen kuin testaus alkoi. Ulkopuolista riippumatonta tarkastajaa ei kutsuttu mukaan.
Tieto käy ilmi asiakirjoista, jotka rahoitusvalvonta (Financial Supervisory Service) toimitti Lee Heon-seungille, People Power Party -puolueen kansanedustajalle. Talouslehti Maeil Business kertoi ensimmäisenä, ettei erillistä tietoturva-auditointia tehty pilotin aikana eikä sen jälkeen. Kokeilu oli osa Project Han River -ohjelmaa ja ajoittui viime vuoden huhti–kesäkuulle.
Ainoa turvallisuustyö ennen kokeilua oli helmikuussa tehty IT-tarkastus ja haavoittuvuusarvio. Se tukeutui osittain osallistuneiden pankkien, Woori Bankin ja NongHyup Bankin, omiin tarkastustiimeihin. Mukana olivat myös Financial Security Institute ja kyberturvayhtiö SK Shields.
Järjestelyssä piilee kysymys. Samat laitokset, jotka osallistuivat kokeiluun, arvioivat myös testattavien järjestelmien turvallisuuden.
Riippumaton auditointi kattaa tavallisesti ulkopuolisen tarkastuksen. Ulkopuolinen taho, jolla ei ole intressiä kaunistella tuloksia, tarkastaa koodin ja hallintaprosessit sekä tekee tunkeutumistestit. Juuri sitä pilotista puuttui.
Etelä-Korean keskuspankki puolusti menettelyään. Keskuspankki totesi Maeil Businessille, että lisätarkastuksia kokeilun aikana tai jälkeen pidettiin tarpeettomina, koska kattavat turvatarkastukset oli tehty jo ennen testausta. Menettely noudatti rahoitusvalvonnan vahvistamia käytäntöjä, keskuspankki kertoi.
Kritiikki ei kohdistu itse teknologiaan vaan siihen, kuka sen tarkastaa. Lehden haastattelema alan edustaja huomautti, että kun järjestelmän turvallisuutta arvioivat pääosin hankkeeseen itse osallistuneet, objektiivista uskottavuutta on vaikea saavuttaa.
Miksi tällä on väliä juuri nyt? Kokeilussa testattiin infrastruktuuria, joka voisi aikanaan kantaa osan maan tulevasta maksujärjestelmästä. Keskuspankkiraha elää tai kaatuu luottamuksen varassa, eikä luottamusta synny helposti, jos turvallisuuden takaa vain hankkeen sisäpiiri.
Aukko osuu varsin hankalaan hetkeen.
Etelä-Korea laajentaa parhaillaan työtään keskuspankkirahan, talletustokenien ja woniin sidottujen stablecoinien parissa osana digitaalisen omaisuuden tiekarttaansa. Rahoitusvalvonnan mukaan pankit ja valvoja neuvottelivat näistä tuotteista virallisesti vain kerran kolmen viime vuoden aikana.
Sääntely laahaa selvästi kehityksen perässä.
Valvonnan valmius herättää muitakin kysymyksiä. Maeil Businessin mukaan pankit eivät ole vielä perustaneet erillisiä tiimejä keskuspankkirahan ja talletustokenien valvontaan. Pilotin toinen vaihe keskeytettiin jo kesäkuussa 2025, kun osallistujat epäilivät kustannuksia ja selkeän liiketoimintamallin puutetta.
Toistaiseksi keskuspankki pitää kiinni kannastaan, jonka mukaan ennakkotarkastukset riittivät. Vahvistaako riippumaton varmistus vielä myöhemmin luottamusta, jää nähtäväksi.
