L'estensione dell'informativa sulla sicurezza informatica che il governo collocava nel 'primo semestre del prossimo anno' slitta al 2027; verificate 40 società su 773
SEUL
L'obbligo di informativa sulla sicurezza informatica per tutte le società quotate, che il governo nell'ottobre dello scorso anno aveva detto di "prevedere di applicare dal primo semestre del prossimo anno" dopo una serie di attacchi hacker che hanno colpito operatori di telecomunicazioni, società finanziarie e perfino la rete di lavoro del governo, entrerà in vigore solo il 1° gennaio 2027. Il Ministero della Scienza e delle TIC ha reso noto che il 20 il Consiglio dei ministri ha approvato la modifica del decreto attuativo della 'Legge sulla promozione dell'industria della sicurezza delle informazioni' (legge sull'industria della sicurezza delle informazioni) con questo contenuto. Il decreto modificato elimina il requisito di 'fatturato pari o superiore a 300 miliardi di won' per le quotate, estendendo l'obbligo di informativa a tutte le società quotate sul KOSPI e sul KOSDAQ, e cancella anche le eccezioni per enti pubblici, società finanziarie e operatori di servizi finanziari elettronici. Per le piccole imprese quotate, tuttavia, si applicherà dal 1° gennaio 2029. Il perimetro dell'informativa si allarga, ma delle 773 società che hanno pubblicato l'informativa lo scorso anno il governo ne ha sottoposte a verifica successiva 40, e la sanzione amministrativa applicabile alle imprese che rifiutano la verifica o non pubblicano l'informativa corretta è al massimo di 10 milioni di won.
L'estensione che il governo collocava nel 'primo semestre del prossimo anno' scatta solo a gennaio 2027
L'estensione dell'informativa era un compito centrale del «Piano interministeriale complessivo per la protezione delle informazioni» presentato congiuntamente dai ministeri interessati il 22 ottobre dello scorso anno. Il documento di Policy Briefing di allora affermava che, "estendendo a tutte le quotate le imprese obbligate all'informativa sulla sicurezza informatica", si sarebbe "introdotto un sistema che classifica e rende pubblico il livello di capacità di sicurezza" sulla base dei risultati dell'informativa. Lo stesso documento presentava il piano dicendo che "è stato impostato privilegiando compiti di breve periodo eseguibili subito". Diceva che la «Strategia nazionale di cybersicurezza», con i compiti di medio-lungo periodo, sarebbe stata elaborata a parte entro l'anno, e nella sessione di domande del briefing era stato risposto che sarebbe stata elaborata e presentata "entro dicembre".
La data di applicazione era emersa direttamente nella sessione di domande. Dalla stampa era stato chiesto: "Chiedo ancora una volta solo i tempi: l'obbligo di informativa sulla sicurezza informatica per tutte le quotate partirà già dal prossimo anno?", e la parte governativa aveva risposto: "Abbiamo in programma di applicare l'obbligo di informativa sulla sicurezza informatica dal primo semestre del prossimo anno". Nella trascrizione non è indicato chi abbia dato questa risposta. In quell'occasione erano presenti il vicepremier e ministro della Scienza e delle TIC Bae Kyung-hoon; il secondo viceministro della Scienza e delle TIC Ryu Je-myung; Shin Jin-chang, a capo della segreteria generale della Commissione per i servizi finanziari; Lee Jung-ryul, alla guida della segreteria generale della Commissione per la protezione delle informazioni personali; Kim Chang-seop, alla guida della terza vicedirezione del Servizio nazionale di intelligence; e Lee Yong-seok, responsabile dell'Ufficio per l'innovazione del governo digitale del Ministero dell'Interno e della Sicurezza.
L'applicazione effettiva è arrivata più tardi. Quando il 9 gennaio di quest'anno ha messo in consultazione preventiva la modifica del decreto, il Ministero della Scienza e delle TIC ha detto che "è previsto di procedere in modo che si possa applicare a partire dai soggetti obbligati all'informativa sulla sicurezza informatica del 2027". A quel punto la data di applicazione era già fissata al 2027. Nella seconda consultazione preventiva dell'11 maggio (avviso del Ministero della Scienza e delle TIC n. 2026-569) sono cambiate le disposizioni aggiuntive. È stato inserito che per le piccole imprese ai sensi della legge quadro sulle PMI l'entrata in vigore è rinviata di due anni, tenuto conto del personale e delle condizioni di gestione. Al momento della consultazione di gennaio, il documento di Policy Briefing diceva che l'eccezione per le piccole imprese veniva soppressa. Il termine per presentare osservazioni nella seconda consultazione era il 22 giugno, e al progetto normativo erano allegati un'analisi d'impatto della regolamentazione e una relazione illustrativa articolo per articolo. Alla fine l'estensione dell'informativa presentata lo scorso ottobre come 'compito di breve periodo' partirà nel 2027, e le piccole quotate inizieranno a pubblicare l'informativa solo due anni dopo.
Già la presentazione del piano complessivo era arrivata in ritardo. Nella sessione di domande, chi rispondeva per il governo ha esordito dicendo: "Sul motivo del ritardo di fine settembre, in realtà noi continuiamo a lavorare con al centro i 5 ministeri", e poi ha detto: "C'è stato un certo ritardo".
Il Ministero della Scienza e delle TIC rivendica l'eliminazione delle zone d'ombra e il diritto dei cittadini a sapere
Il Ministero della Scienza e delle TIC ha spiegato che con questa modifica eliminerà le zone d'ombra del sistema di informativa e garantirà il diritto dei cittadini a sapere, inducendo al tempo stesso le imprese a considerare la protezione delle informazioni un investimento e non un costo. Bae ha detto il 20: "L'informativa sulla sicurezza informatica è un sistema importante che garantisce il diritto dei cittadini a sapere e induce le imprese a investire volontariamente nella protezione delle informazioni". Bae ha detto: "Mi auguro che si consolidi un circolo virtuoso in cui gli investimenti nella protezione delle informazioni si intensifichino e il livello di protezione delle informazioni dell'intero paese cresca".
Il contenuto della modifica si concentra sull'estensione dei soggetti obbligati. Secondo il testo della seconda consultazione preventiva, all'articolo 8, comma 1, del decreto vengono eliminate insieme la condizione della nomina e notifica di un responsabile della sicurezza delle informazioni (CISO) e la condizione del fatturato pari o superiore a 300 miliardi di won, e vengono incluse le società quotate sul mercato azionario e sul KOSDAQ. Secondo il documento del Ministero della Scienza e delle TIC del 20, sono escluse le società veicolo per acquisizioni (SPAC). I soggetti obbligati alla certificazione del sistema di gestione della sicurezza delle informazioni (ISMS) ai sensi della legge sulle reti di informazione e comunicazione alla fine dell'anno precedente vengono inseriti come nuovo punto 4 dello stesso comma. L'articolo 8, comma 2, viene soppresso, e scompaiono le condizioni di esclusione per enti pubblici, piccole imprese, operatori finanziari e operatori di servizi finanziari elettronici. Anche il criterio di calcolo del numero di utenti passa dalla media giornaliera dei tre mesi precedenti la fine dell'anno precedente alla media giornaliera dell'intero anno precedente.
Il Ministero della Scienza e delle TIC ha detto che pubblicherà «Linee guida sull'informativa sulla sicurezza informatica» aggiornate alla modifica e offrirà consulenza alle imprese che assumono per la prima volta l'obbligo. Saranno affiancati anche assistenza online permanente, formazione e formazione itinerante nelle regioni. La relazione illustrativa del testo della seconda consultazione contiene la spiegazione che si intende superare l'inquietudine dei cittadini, accresciuta dai recenti attacchi hacker, e rafforzare la capacità nazionale di protezione delle informazioni. Nel comunicato del 9 gennaio il Ministero della Scienza e delle TIC ha riassunto il contenuto della modifica come 'soppressione del criterio di fatturato delle società quotate, inclusione delle imprese con certificazione del sistema di gestione della sicurezza delle informazioni (ISMS) e abolizione delle eccezioni', e l'obiettivo come 'indurre investimenti volontari delle imprese nella sicurezza e rafforzare la garanzia del diritto dei cittadini a sapere'. Lo stesso giorno Choi Woo-hyuk, responsabile dell'Ufficio per la politica delle reti del Ministero della Scienza e delle TIC, ha detto: "Con questo miglioramento del sistema è diventato possibile verificare la situazione della protezione delle informazioni di un numero di imprese maggiore rispetto a prima".
Anche KT, in cui l'ispezione d'emergenza 'non aveva rilevato nulla di particolare', è finita due mesi dopo nel briefing sul piano
Il dibattito sull'estensione dell'informativa ha accelerato dopo i grandi incidenti. Un funzionario del Ministero della Scienza e delle TIC aveva detto nel documento di Policy Briefing dell'11 agosto dello scorso anno: "In seguito all'incidente di intrusione di SKT, abbiamo condotto entro questa settimana ispezioni d'emergenza sul posto presso altri operatori di telecomunicazioni come KT e LGU+ e presso le principali piattaforme come Naver, Kakao, Coupang e Woowa Brothers, e non è stato rilevato nulla di particolare".
Nel briefing sul piano complessivo, tenuto poco più di due mesi dopo, è finito tra le domande l'incidente di KT, che era stata oggetto di quell'ispezione. Dalla stampa è stato osservato: "Mi risulta che anche il recente problema delle femtocelle di KT sia nato, alla fine, dal fatto che KT non è riuscita a smaltirle tutte". Ryu Je-myung ha risposto sulle femtocelle: "Una cosa, il recupero, la questione del recupero non è facile". Ryu ha detto inoltre: "In relazione a questo incidente di KT, per i micropagamenti vogliamo eliminare il ricorso alla sola autenticazione via SMS o ARS". Nella stessa sessione di domande è stato citato anche l'incidente di Lotte Card.
La ricetta proposta dal governo è stata l'estensione delle ispezioni e dell'informativa. Il documento di Policy Briefing affermava: "Per dissipare la diffusa inquietudine per gli attacchi hacker, si avvia immediatamente un'ampia ispezione delle vulnerabilità di sicurezza di circa 1.600 sistemi informatici utilizzati dalla maggior parte della popolazione, come quelli del settore pubblico, finanziario e delle telecomunicazioni". Shin Jin-chang aveva detto che entro la fine di quel mese avrebbe completato l'ispezione di 260 sistemi del settore finanziario tra questi. L'estensione dell'obbligo di informativa è entrata in questo pacchetto di misure, ma il decreto che ne costituisce la base giuridica è stato approvato dal Consiglio dei ministri il 20 di questo mese, quasi un anno dopo il briefing.
Lo stesso piano conteneva diversi compiti rivolti alle imprese colpite da incidenti. Il governo aveva detto che "estenderà i poteri di indagine del governo affinché, in presenza di indizi di attacco hacker, possa indagare rapidamente sul posto anche senza segnalazione". Aveva deciso che gli audit per le certificazioni ISMS e ISMS-P si sarebbero concentrati sulle verifiche in loco e che la certificazione sarebbe stata revocata in caso di gravi carenze in un'impresa certificata. Era stato inserito anche che, se un attacco hacker si verifica per negligenza nella sicurezza di un'impresa, si alleggerirà l'onere della prova a carico del consumatore, e che si valuterà l'istituzione di un fondo che destini gli introiti delle sanzioni pecuniarie per fughe di dati personali al sostegno delle vittime, tra l'altro. Tra i compiti figurava anche il rafforzamento della responsabilità del CEO e del ruolo del CISO. Nel briefing sono stati citati, tra i circa 1.600 obiettivi dell'ispezione, 900 grandi imprese e 260 istituti finanziari, e dalla stampa è stata posta una domanda citando il dato di 228 infrastrutture di enti pubblici.