توسيع نطاق الإفصاح عن أمن المعلومات الذي وعدت الحكومة بتطبيقه في «النصف الأول من العام المقبل» يتأجل إلى 2027... والتحقق شمل 40 شركة فقط من أصل 773

سيول

لن يدخل الإلزام بالإفصاح عن أمن المعلومات لجميع الشركات المدرجة، والذي صرّحت الحكومة في أكتوبر من العام الماضي بأنها "تخطط لتنفيذه بدءاً من النصف الأول من العام المقبل" في أعقاب سلسلة حوادث اختراق طالت شركات الاتصالات والشركات المالية وصولاً إلى شبكات العمل الحكومية، حيز التنفيذ إلا في 1 يناير 2027. وأعلنت وزارة العلوم وتكنولوجيا المعلومات والاتصالات أن تعديل مرسوم تنفيذ "قانون تعزيز صناعة أمن المعلومات" (قانون صناعة أمن المعلومات)، المتضمن لهذه التفاصيل، قد أُقر في اجتماع مجلس الوزراء في يوم 20. ويُلغي التعديل شرط "إيرادات بقيمة 300 مليار وون أو أكثر" للشركات المدرجة، ليفرض التزام الإفصاح على جميع الشركات المدرجة في سوقي كوسبي (KOSPI) وكوسداك (KOSDAQ)، كما يحذف الاستثناءات الخاصة بالمؤسسات العامة والشركات المالية وشركات المعاملات المالية الإلكترونية. ومع ذلك، سيتم تطبيق الإلزام على الشركات الصغيرة من بين الشركات المدرجة اعتباراً من 1 يناير 2029. ورغم توسع نطاق الإفصاح، إلا أن الحكومة أجرت تحققاً لاحقاً على 40 شركة فقط من بين 773 شركة أفصحت العام الماضي، ولا تتعدى الغرامة الإدارية القصوى التي يمكن فرضها على الشركات التي ترفض التحقق أو تمتنع عن تقديم إفصاحات مصححة 10 ملايين وون.

توسيع نطاق الإفصاح الذي قالت الحكومة إنه سيكون في «النصف الأول من العام المقبل» لن يُنفذ إلا في يناير 2027

كان توسيع نطاق الإفصاح مهمة رئيسية ضمن "الخطة الشاملة لحماية المعلومات بين الوزارات" التي أعلنتها الوزارات المعنية بشكل مشترك في 22 أكتوبر من العام الماضي. وأفادت المواد الإعلامية للإيجاز الحكومي في ذلك الوقت بأنه "مع توسيع نطاق الشركات الملزمة بالإفصاح عن أمن المعلومات ليشمل جميع الشركات المدرجة"، فإن الحكومة "ستعتمد نظاماً لتصنيف مستويات القدرات الأمنية والكشف عنها" بناءً على نتائج الإفصاح. ووصفت المادة ذاتها الخطة الشاملة بأنها "قُدمت بالتركيز على مهام قصيرة المدى يمكن تنفيذها على الفور". وذكرت أنه سيتم وضع "استراتيجية وطنية للأمن السيبراني" تتضمن مهام متوسطة وطويلة المدى بشكل منفصل خلال العام، وجاء الرد في جلسة الأسئلة والأجوبة بالإيجاز بأنه سيتم وضعها وإعلانها "في غضون شهر ديسمبر".

أما موعد التنفيذ فورد مباشرة في جلسة الأسئلة والأجوبة في الإيجاز الصحفي؛ فحين سأل أحد الصحفيين: "أود أن أسأل مرة أخرى عن التوقيت فقط: هل سيتم إلزام جميع الشركات المدرجة بالإفصاح عن أمن المعلومات مباشرة بدءاً من العام المقبل؟"، أجاب الجانب الحكومي: "نخطط لتنفيذ إلزامية الإفصاح عن أمن المعلومات بدءاً من النصف الأول من العام المقبل". ولا يحدد المحضر المفرغ هوية المتحدث بهذا الرد. وكان يقف معاً في ذلك الإيجاز كل من باي كيونغ-هون، نائب رئيس الوزراء ووزير العلوم وتكنولوجيا المعلومات والاتصالات، وريو جيه-ميونغ، النائب الثاني لوزير العلوم وتكنولوجيا المعلومات والاتصالات، وشين جين-تشانغ، الأمين العام للجنة الخدمات المالية، ولي جونغ-ريول، الأمين العام للجنة حماية المعلومات الشخصية، وكيم تشانغ-سوب، النائب الثالث لمدير جهاز الاستخبارات الوطني، ولي يونغ-سوك، رئيس مكتب ابتكار الحكومة الرقمية بوزارة الداخلية والسلامة.

لكن التطبيق الفعلي تأخر عن ذلك؛ فعندما أصدرت وزارة العلوم وتكنولوجيا المعلومات والاتصالات إخطاراً مسبقاً بتعديل المرسوم التشريعي في 9 يناير من هذا العام، قالت إنها "تخطط للمضي قدماً بحيث يُطبق على الجهات الخاضعة للإفصاح عن أمن المعلومات لعام 2027". وفي تلك المرحلة، كان موعد التطبيق قد حُدد بالفعل في عام 2027. وفي إشعار تشريعي مسبق مُعاد نشره في 11 مايو (إشعار وزارة العلوم وتكنولوجيا المعلومات والاتصالات رقم 2026-569)، عُدلت الأحكام الإضافية؛ حيث أُضيف بند جديد يقضي بإرجاء موعد السريان لمدة عامين للشركات الصغيرة بموجب القانون الإطاري للمشروعات الصغيرة والمتوسطة، وذلك مراعاة لظروف كوادرها وإدارتها. وكان الإيجاز السياسي الصادر بالتزامن مع إخطار يناير قد ذكر أن بند الاستثناء المخصص للشركات الصغيرة سيُلغى. واستمرت فترة تقديم الآراء بشأن الإشعار المسبق المعاد حتى 22 يونيو، وأُرفق بمشروع القانون تقرير تحليل الأثر التنظيمي وبيان أسباب الإصدار والتعديل لكل مادة. وفي نهاية المطاف، فإن توسيع نطاق الإفصاح الذي طُرح في أكتوبر الماضي باعتباره "مهمة قصيرة الأجل" سيبدأ في عام 2027، في حين لن تبدأ الشركات الصغيرة المدرجة في الإفصاح إلا بعد عامين من ذلك التاريخ.

حتى إعلان الخطة الشاملة نفسها كان متأخراً؛ ففي جلسة الأسئلة والأجوبة، استهل المتحدث باسم الحكومة إجابته قائلاً: "فيما يتعلق بأسباب التأخير منذ نهاية سبتمبر، ففي الواقع، واصلنا العمل بالتركيز على خمس وزارات"، ثم أضاف: "كان هناك بعض التأخير في التوقيت".

وزارة العلوم وتكنولوجيا المعلومات والاتصالات تؤكد على معالجة الثغرات وضمان حق المواطنين في المعرفة

أوضحت وزارة العلوم وتكنولوجيا المعلومات والاتصالات أن هذا التعديل يهدف إلى معالجة الثغرات في نظام الإفصاح وضمان حق المواطنين في المعرفة، فضلاً عن تشجيع الشركات على النظر إلى أمن المعلومات كاستثمار وليس كتكلفة. وقال نائب رئيس الوزراء باي كيونغ-هون في يوم 20: "يُعد الإفصاح عن أمن المعلومات نظاماً مهماً يضمن حق الجمهور في المعرفة، ويحفز الشركات على الاستثمار الطوعي في أمن المعلومات". وأضاف باي: "أتطلع إلى ترسيخ حلقة إيجابية يصبح فيها الاستثمار في أمن المعلومات أكثر نشاطاً، ويرتفع معها مستوى أمن المعلومات في عموم البلاد".

وتركز التعديلات على توسيع نطاق الفئات المشمولة. ووفقاً لنص الإخطار التشريعي المسبق المعاد، تلغي الفقرة 1 من المادة 8 من المرسوم التنفيذي كلاً من شرط تعيين مسؤول أمن المعلومات الرئيسي (CISO) والإبلاغ عنه، وشرط تحقيق إيرادات تبلغ 300 مليار وون أو أكثر، وتضم الشركات المدرجة في سوقي كوسبي وكوسداك إلى الفئات المشمولة. ووفقاً لبيانات الوزارة الصادرة في يوم 20، تستثنى شركات الاستحواذ ذات الأغراض الخاصة (SPAC). كما أُدرجت الجهات الملزمة بالحصول على شهادة نظام إدارة أمن المعلومات (ISMS) بموجب قانون شبكات المعلومات والاتصالات حتى نهاية العام السابق في البند 4 الجديد من الفقرة ذاتها. وأُلغيت الفقرة 2 من المادة 8، لتختفي شروط الاستثناء التي كانت تنطبق على المؤسسات العامة والشركات الصغيرة والمؤسسات المالية وشركات المعاملات المالية الإلكترونية. وتغير أساس احتساب عدد المستخدمين أيضاً من المتوسط اليومي للأشهر الثلاثة السابقة لنهاية العام الماضي إلى المتوسط اليومي للعام السابق بأكمله.

وذكرت الوزارة أنها ستصدر "إرشادات الإفصاح عن أمن المعلومات" التي تعكس التعديلات وستقدم الدعم الاستشاري للشركات الخاضعة حديثاً للالتزام. كما ستجري استشارات وتدريبات مستمرة عبر الإنترنت، إلى جانب دورات تدريبية ميدانية متنقلة في المناطق. وتضمنت أسباب الإقرار والتعديل في الإشعار المسبق المعاد توضيحاً يفيد بأن التغيير يستهدف التغلب على قلق المواطنين المتزايد جراء حوادث الاختراق الأخيرة ورفع قدرات أمن المعلومات الوطنية. وفي بيان صحفي صدر في 9 يناير، لخصت الوزارة جوهر التعديل في "حذف معيار الإيرادات للشركات المدرجة، وإدراج الشركات المعتمدة بنظام إدارة أمن المعلومات (ISMS)، وإلغاء بنود الاستثناء"، وحددت هدفه في "تحفيز استثمارات الشركات الطوعية في الأمن وتعزيز ضمان حق الجمهور في المعرفة". وفي اليوم نفسه، صرح تشوي وو-هيوك، رئيس مكتب سياسات الشبكات بالوزارة، قائلاً: "مع هذا التحسين المؤسسي، أصبح بإمكاننا التحقق من حالة أمن المعلومات لعدد أكبر من الشركات مقارنة بالسابق".

شركة KT، التي أُعلن أنه «لم يُعثر على أي أمور غير عادية» خلال الفحص الطارئ، تُطرح في إيجاز التدابير بعد شهرين

تسارعت وتيرة مناقشات توسيع الإفصاح عقب وقوع حوادث كبرى. وقال مسؤول في وزارة العلوم وتكنولوجيا المعلومات والاتصالات في مادة الإيجاز السياسي في 11 أغسطس من العام الماضي: "في أعقاب حادثة اختراق شركة SKT، أجرينا عمليات تفتيش ميدانية طارئة حتى هذا الأسبوع لشركات اتصالات أخرى مثل KT وLGU+ وشركات المنصات الرئيسية مثل نيفر وكاكاو وكوبانغ ووواه بروذرز، ونتيجة لذلك، لم يُعثر على أي أمور غير عادية".

وبعد ما يزيد قليلاً عن شهرين، وخلال الإيجاز الصحفي للخطة الشاملة، أثيرت في الأسئلة حادثة وقعت لدى شركة KT، وهي إحدى الجهات التي شملها التفتيش؛ حيث سأل أحد الصحفيين: "فيما يخص مشكلة خلايا الفيمتو (Femtocell) لدى KT التي أثيرت مؤخراً، أعلم أنها وقعت في النهاية بسبب عجز KT عن التخلص منها بالكامل". ورد نائب الوزير ريو جيه-ميونغ بشأن خلايا الفيمتو قائلاً: "هناك أمر يتعلق باستعادتها، ومسألة الاستعادة ليست بالأمر السهل". وأضاف ريو أيضاً: "فيما يتصل بحادث KT هذه المرة، نعتزم إلغاء الاكتفاء بالتحقق عبر الرسائل النصية القصيرة (SMS) أو الرد الصوتي التفاعلي (ARS) فقط عند إجراء المدفوعات الصغيرة كما هو متبع حالياً". كما أثيرت حادثة بطاقة لوتيه كارد في جلسة الأسئلة والأجوبة نفسها.

وكانت الإجراءات العلاجية التي طرحتها الحكومة تتمثل في توسيع نطاق عمليات التفتيش وتوسيع الإفصاح. وذكرت مواد الإيجاز الحكومي: "لتبديد القلق المتفشي بشأن القرصنة، سنمضي قدماً وعلى الفور في إجراء فحص واسع النطاق للثغرات الأمنية لنحو 1600 نظام لتكنولوجيا المعلومات يستخدمها غالبية المواطنين، بما في ذلك القطاعات العامة والمالية والاتصالات". وقال الأمين العام شين جين-تشانغ إنه سيتم الانتهاء من فحص 260 نظاماً في القطاع المالي من بين تلك الأنظمة بحلول نهاية ذلك الشهر. وأُدرج توسيع إلزامية الإفصاح ضمن حزمة التدابير هذه، لكن المرسوم التنفيذي الذي يشكل الأساس القانوني لها لم يُقر في مجلس الوزراء إلا في يوم 20 من هذا الشهر، أي بعد مرور ما يقرب من عام على الإيجاز.

وتضمنت الخطة ذاتها عدة مهام تستهدف الشركات التي تعرضت للحوادث. وذكرت الحكومة أنها "ستوسع صلاحيات التحقيق الحكومية لتمكين الحكومة من إجراء تحقيقات ميدانية سريعة حتى دون تلقي بلاغ، وذلك بمجرد رصد مؤشرات على حدوث اختراق". كما تقرر تحويل عمليات تدقيق شهادات ISMS وISMS-P لتركز على التدقيق الميداني، وإلغاء الاعتماد إذا ظهرت عيوب خطيرة لدى الشركات المعتمدة. كما شملت الخطة تخفيف عبء الإثبات على المستهلكين إذا وقع الاختراق بسبب إهمال أمني من جانب الشركة، ودراسة إنشاء صندوق يستخدم إيرادات الغرامات المالية المفروضة على تسريبات البيانات الشخصية لدعم الضحايا وأغراض أخرى. وكان تشديد مسؤولية الرئيس التنفيذي وتعزيز دور مسؤول أمن المعلومات الرئيسي (CISO) من بين المهام المطروحة أيضاً. وخلال الإيجاز، جرى التطرق إلى 900 شركة كبرى و260 مؤسسة مالية من بين نحو 1600 هدف للتفتيش، وطرح أحد الصحفيين سؤالاً استند فيه إلى رقم يفيد بوجود 228 منشأة للبنية التحتية التابعة للمؤسسات العامة.

رغم زيادة الشركات المفصحة، التحقق اللاحق اقتصر على 40 من أصل 773 شركة

يعتمد مدى تعبير الإفصاح عن المستوى الأمني الفعلي على التحقق. وذكرت وزارة العلوم وتكنولوجيا المعلومات والاتصالات والوكالة الكورية للإنترنت والأمن (KISA) أنهما اختارتا من بين 773 شركة أفصحت العام الماضي (666 شركة ملزمة، و107 شركات تطوعية) "40 جهة من بينها شركات الاتصالات الثلاث التي تقدم خدمات ترتبط وثيقاً بحياة المواطنين"، لإجراء تحقق لاحق على مدى 3 أشهر حتى نهاية نوفمبر. وشكلت الجهات الخاضعة للتحقق نحو 5% من أصل 773 شركة. وشملت بنود التحقق استثمارات أمن المعلومات والكوادر لعام 2024، والتي كانت الشركات قد أفصحت عنها بحلول 30 يونيو.