הרחבת הגילוי הנאות על אבטחת מידע, שהממשלה הבטיחה ל'מחצית הראשונה של השנה הבאה', נדחתה ל-2027; רק 40 מתוך 773 חברות נבדקו
סיאול
חובת הגילוי הנאות על אבטחת מידע לכל החברות הנסחרות, שהממשלה הודיעה באוקטובר אשתקד, אחרי שורת פריצות לחברות תקשורת, לחברות פיננסיות ואף לרשת העבודה של הממשלה, כי "מתוכנן להחיל אותה מהמחצית הראשונה של השנה הבאה", תיכנס לתוקף רק ב-1 בינואר 2027. משרד המדע והתקשוב מסר כי תיקון ברוח זו לתקנות "החוק לקידום תעשיית אבטחת המידע" (חוק תעשיית אבטחת המידע) אושר ב-20 בחודש בישיבת הקבינט. התקנות המתוקנות מבטלות את התנאי של "מחזור של 300 מיליארד וון ומעלה" לחברות נסחרות, ובכך מחייבות בגילוי את כל התאגידים הנסחרים בקוספי ובקוסדק, ומוחקות גם את החריגים לגופים ציבוריים, לחברות פיננסיות ולנותני שירותים פיננסיים אלקטרוניים. אולם על עסקים קטנים מבין החברות הנסחרות הן יחולו רק מ-1 בינואר 2029. מעגל החייבים בגילוי מתרחב, אך מתוך 773 החברות שגילו אשתקד בדקה הממשלה בדיעבד 40, והקנס שאפשר להטיל על חברות המסרבות לבדיקה או אינן מבצעות גילוי מתוקן הוא עד 10 מיליון וון.
הרחבת הגילוי, שהממשלה הבטיחה ל"מחצית הראשונה של השנה הבאה", תיכנס לתוקף רק בינואר 2027
הרחבת הגילוי הייתה משימה מרכזית ב"תוכנית הבין-משרדית המקיפה להגנת מידע", שהמשרדים הנוגעים בדבר הציגו במשותף ב-22 באוקטובר אשתקד. בחומרים שפורסמו אז בתדריך המדיניות נכתב כי "תוך הרחבת החברות החייבות בגילוי נאות על אבטחת מידע לכל החברות הנסחרות", על בסיס תוצאות הגילוי "יונהג הסדר שבו רמת יכולות האבטחה תדורג ותפורסם". אותו חומר הציג את התוכנית כך: "היא הוצגה תוך התמקדות במשימות קצרות טווח שאפשר ליישם מיד". "אסטרטגיית הסייבר הלאומית", הכוללת משימות לטווח הבינוני והארוך, תגובש בנפרד עוד באותה שנה, ובשאלות ובתשובות בתדריך נאמר כי היא תגובש ותוצג "עד דצמבר".
מועד היישום עלה במפורש בשאלות ובתשובות בתדריך. כשעיתונאי שאל: "אני רוצה לשאול שוב רק על המועד: האם חובת הגילוי הנאות על אבטחת מידע לכל החברות הנסחרות תחול כבר מהשנה הבאה?", השיב צד הממשלה: "חובת הגילוי הנאות על אבטחת מידע מתוכננת להיות מוחלת מהמחצית הראשונה של השנה הבאה". בתמליל לא צוין מי השיב תשובה זו. על הבמה עמדו סגן ראש הממשלה ושר המדע והתקשוב בה קיונג-הון, סגן השר השני של המדע והתקשוב ריו ג'ה-מיונג, שין ג'ין-צ'אנג שבראש המזכירות הכללית של ועדת השירותים הפיננסיים, המזכיר הכללי של הוועדה להגנת מידע אישי לי ג'ונג-ריול, קים צ'אנג-סופ בדרג סגן הראש השלישי של שירות המודיעין הלאומי, וראש מטה החדשנות של הממשלה הדיגיטלית במשרד הפנים והביטחון לי יונג-סוק.
היישום בפועל התאחר. המשרד מסר ב-9 בינואר השנה, עם הפרסום המוקדם של טיוטת התקנות: "נפעל כך שההסדר יוכל לחול החל מהחייבים בגילוי לשנת 2027". בשלב זה כבר נקבע מועד התחולה ל-2027. בפרסום המוקדם החוזר ב-11 במאי (הודעת משרד המדע והתקשוב מס' 2026-569) שונו הוראות המעבר. נוסף לראשונה כי על עסקים קטנים לפי חוק היסוד לעסקים קטנים ובינוניים תידחה התחולה בשנתיים, בהתחשב בכוח האדם ובתנאי הניהול שלהם. בחומרי תדריך המדיניות לפרסום המוקדם בינואר נכתב כי סעיף החריג לעסקים קטנים יימחק. תקופת הגשת ההערות לפרסום המוקדם החוזר נמשכה עד 22 ביוני, ולטיוטה צורפו דוח ניתוח השפעות רגולציה ודברי הסבר לפי סעיפים. הרחבת הגילוי, שהוצגה באוקטובר אשתקד כ"משימה קצרת טווח", תתחיל אפוא ב-2027, ועסקים קטנים נסחרים יתחילו בגילוי רק שנתיים לאחר מכן.
כבר הצגת התוכנית המקיפה התעכבה. בשאלות ובתשובות פתח נציג של צד הממשלה במילים: "לגבי סיבות העיכוב מסוף ספטמבר, האמת שאנחנו כל הזמן, סביב חמשת המשרדים", ואמר אחר כך: "היה עיכוב מסוים בזמנים".
המשרד: סגירת שטחים מתים והבטחת זכות הציבור לדעת
המשרד הסביר כי בתיקון יסגור שטחים מתים בהסדר הגילוי ויבטיח את זכות הציבור לדעת, ובמקביל יעודד חברות לראות באבטחת מידע השקעה ולא הוצאה. בדברי סגן ראש הממשלה בה קיונג-הון ב-20 בחודש: "הגילוי הנאות על אבטחת מידע הוא הסדר חשוב המבטיח את זכות הציבור לדעת ומעודד השקעה וולונטרית של חברות באבטחת מידע". עוד בדברי בה: "אני מקווה שיתבסס מעגל חיובי שבו ההשקעה באבטחת מידע תגבר עוד ורמת אבטחת המידע בכל המדינה תעלה".
התיקונים מתמקדים בהרחבת מעגל החייבים. לפי הפרסום המוקדם החוזר, בסעיף 8(1) לתקנות נמחקים התנאי של מינוי ודיווח על מנהל אבטחת מידע ראשי (CISO) והתנאי של מחזור של 300 מיליארד וון ומעלה, ונכללים תאגידים הנסחרים בבורסה ובקוסדק. לפי חומרי המשרד מ-20 בחודש, חברות רכש לייעוד מיוחד (SPAC) מוחרגות. מי שחייבים, נכון לסוף השנה הקודמת, בהסמכת מערכת לניהול אבטחת מידע (ISMS) לפי חוק רשתות התקשורת נכנסים כפסקה 4 חדשה באותו סעיף קטן. סעיף 8(2) נמחק, וכך נעלמים תנאי ההחרגה שחלו על גופים ציבוריים, עסקים קטנים, עסקים פיננסיים ועסקים פיננסיים אלקטרוניים. גם בסיס חישוב מספר המשתמשים משתנה, מממוצע יומי בשלושת החודשים שלפני סוף השנה הקודמת לממוצע יומי על פני כל השנה הקודמת.
המשרד מסר כי בעבור החברות שיחויבו לראשונה יפרסם "קווים מנחים לגילוי נאות על אבטחת מידע" המשקפים את התיקונים, ויתמוך בייעוץ. במקביל יינתנו ייעוץ והדרכה מקוונים שוטפים והדרכות במסע בין האזורים. בדברי ההסבר לפרסום המוקדם החוזר נכתב כי המטרה היא להתגבר על החרדה הציבורית שגברה בעקבות הפריצות האחרונות ולהגביר את יכולות אבטחת המידע הלאומיות. המשרד סיכם בהודעה לעיתונות מ-9 בינואר את עיקר התיקון כ"מחיקת קריטריון המחזור לחברות נסחרות, הכללת חברות בעלות הסמכת ISMS וביטול סעיפי החריג", ואת מטרתו כ"עידוד השקעה וולונטרית של חברות באבטחה וחיזוק זכות הציבור לדעת". באותו יום, בדברי צ'וי וו-היוק, ראש מטה מדיניות הרשתות במשרד: "בזכות שיפור ההסדר הזה נוכל לבדוק את מצב אבטחת המידע ביותר חברות מבעבר".
גם KT, שבבדיקת החירום "לא נמצאו בה ממצאים חריגים", עלתה כעבור חודשיים בתדריך הצעדים
הדיון על הרחבת הגילוי צבר תאוצה רק אחרי תקריות גדולות. גורם במשרד מסר ב-11 באוגוסט אשתקד בחומרי תדריך המדיניות: "בעקבות אירוע החדירה ב-SKT ערכנו עד השבוע בדיקות שטח דחופות בחברות תקשורת אחרות כמו KT ו-LGU+, ובחברות פלטפורמה מרכזיות כמו נייבר, קקאו, קופאנג ו-Woowa Brothers, ולא נמצאו ממצאים חריגים".
בתדריך על התוכנית המקיפה, כעבור חודשיים ומעלה, עלתה בשאלות תקרית ב-KT, אחת החברות שנבדקו אז. עיתונאי שאל: "לפי מה שידוע לי, גם בעיית הפמטו-סלים של KT שעלתה לאחרונה נוצרה בסופו של דבר משום ש-KT לא הצליחה להשמיד את כל המכשירים". סגן השר ריו ג'ה-מיונג השיב על הפמטו-סלים: "דבר אחד, האיסוף, בעיית האיסוף אינה פשוטה". עוד בדברי ריו: "בקשר לתקרית ב-KT, אנחנו רוצים עכשיו לבטל את האפשרות לבצע תשלומים קטנים באימות SMS או ARS בלבד". באותן שאלות ותשובות הוזכרה גם התקרית בלוטה קארד.
המרשם של הממשלה היה הרחבת הבדיקות והרחבת הגילוי. בחומרי תדריך המדיניות נכתב: "כדי להפיג את החרדה הנפוצה מפריצות, תקודם מיד בדיקה רחבת היקף של פרצות אבטחה בכ-1,600 מערכות מחשוב שבהן משתמש רוב הציבור, כגון במגזר הציבורי, הפיננסי והתקשורת". לדברי שין ג'ין-צ'אנג, בדיקת 260 מערכות במגזר הפיננסי מתוכן תושלם עד סוף אותו חודש. הרחבת חובת הגילוי נכללה בחבילת הצעדים הזאת, אך התקנות, שהן הבסיס החוקי, אושרו בישיבת הקבינט רק ב-20 בחודש הנוכחי, כמעט שנה אחרי התדריך.
באותה חבילה נכללו כמה משימות המכוונות לחברות שאירעו בהן תקריות. הממשלה הודיעה כי "תרחיב את סמכויות החקירה של הממשלה, כך שתוכל לחקור במהירות בשטח גם ללא דיווח כאשר יש בידיה סימנים לפריצה". בדיקות ההסמכה ל-ISMS ול-ISMS-P יעברו להתבסס על בדיקות שטח, וההסמכה תבוטל כאשר יתגלה בחברה מוסמכת ליקוי חמור. נכללה גם כוונה להקל על נטל ההוכחה של הצרכן כאשר פריצה מתרחשת בשל רשלנות אבטחה של חברה, ולבחון הקמת קרן שתשתמש בהכנסות מקנסות על דליפות מידע אישי, בין היתר לתמיכה בנפגעים. גם חיזוק אחריות המנכ"ל ותפקיד ה-CISO הועלה כמשימה. בתדריך הוזכרו, מתוך כ-1,600 המערכות שייבדקו, 900 חברות מרכזיות ו-260 מוסדות פיננסיים, ועיתונאי שאל שאלה בהסתמך על הנתון של 228 מתקני תשתית של גופים ציבוריים.