政府が「来年上半期」としていた情報保護公示の拡大、2027年にずれ込む…検証は773社中40社

ソウル

通信会社と金融会社、政府の業務網にまでハッキング事故が相次いだ後、政府が昨年10月に「来年上半期から施行する計画」だと明らかにした全上場企業への情報保護公示の義務化が、2027年1月1日になってようやく施行される。科学技術情報通信省(科技情報通信省)は、こうした内容の「情報保護産業の振興に関する法律」(情報保護産業法)施行令改正案が20日の閣議を通過したと明らかにした。改正施行令は上場企業の「売上高3000億ウォン以上」の要件をなくしてKOSPI・KOSDAQ上場法人全体に公示義務を課し、公共機関・金融会社・電子金融業者の例外も削除する。ただし、上場企業のうち小企業は2029年1月1日から適用される。公示の範囲は広がるが、昨年公示した773社のうち政府が事後検証したのは40社で、検証を拒否したり修正公示をしなかったりした企業に科すことのできる過料は最大1000万ウォンだ。

政府が「来年上半期」としていた公示拡大は2027年1月になってようやく施行

公示拡大は、昨年10月22日に関係省庁合同で発表した「省庁横断情報保護総合対策」の中核課題だった。当時の政策ブリーフィングの資料は「情報保護公示義務企業を上場企業全体に拡大しつつ」、公示結果を基に「セキュリティー能力の水準を等級化して公開する制度を導入する」と明らかにした。同じ資料は総合対策を「直ちに実行できる短期課題を中心に提示しており」と紹介した。中長期課題を盛り込んだ「国家サイバー安保戦略」は年内に別途策定するとし、ブリーフィングの質疑応答では「12月中に」策定・発表するという答弁が出た。

施行時期はブリーフィングの質疑応答で直接出た。ある記者が「情報保護公示義務が上場企業全体に拡大されるのは、すぐ来年から進められるのか、時期だけもう一度お尋ねします」と質問すると、政府側は「情報保護公示義務は来年上半期から施行する計画を持っています」と答えた。速記録にはこの答弁の発言者の表記がない。その場には、ペ・ギョンフン副首相兼科技情報通信相とリュ・ジェミョン科技情報通信省第2次官、シン・ジンチャン金融委員会事務局長、イ・ジョンリョル個人情報保護委員会事務局長、キム・チャンソプ国家情報院第3次長、イ・ヨンソク行政安全省デジタル政府革新室長が並んで立った。

実際の施行はそれより遅れた。科技情報通信省は今年1月9日に施行令改正案を立法予告する際、「2027年の情報保護公示対象者から適用できるよう進める予定」だとした。この時点で適用時期はすでに2027年に設定されていた。5月11日の再立法予告(科学技術情報通信省公告第2026-569号)では附則が変わった。中小企業基本法上の小企業は人員と経営状況を考慮して施行日を2年猶予するという内容が新たに入った。1月の立法予告の際、政策ブリーフィングの資料は小企業に対する例外条項を削除するとしていた。再立法予告の意見提出期間は6月22日までで、法令案とともに規制影響分析書と条文別の制定・改正理由書が添付された。結局、昨年10月に「短期課題」として打ち出した公示拡大は2027年に始まり、上場小企業はそれから2年後にようやく公示を始める。

総合対策の発表からして遅れた。質疑応答で政府側の答弁者は「9月末の遅延理由については、実は私たちが引き続き5つの省庁を中心に」と切り出した後、「多少時間が遅れた点がありました」と述べた。

科技情報通信省は死角の解消と国民の知る権利の保障を掲げる

科技情報通信省は今回の改正で公示制度の死角を解消し、国民の知る権利を保障する一方、企業が情報保護をコストではなく投資と認識するよう誘導すると説明した。ペ・ギョンフン副首相は20日、「情報保護公示は国民の知る権利を保障し、企業の自発的な情報保護投資を誘導する重要な制度だ」と述べた。ペ副首相は「情報保護投資がさらに活性化し、国全体の情報保護水準が高まる好循環の構造が定着することを期待する」と述べた。

改正内容は対象の拡大に焦点が当てられている。再立法予告文によると、施行令第8条第1項で情報保護最高責任者(CISO)の指定・届け出の条件と売上高3000億ウォン以上の条件をともに削除し、有価証券・KOSDAQ上場法人を対象に加える。20日の科技情報通信省の資料によると、特別買収目的会社(SPAC)は除外される。前年度末時点で情報通信網法上の情報保護管理体系(ISMS)認証の義務対象者は、同項第4号として新たに加わる。第8条第2項は削除され、公共機関、小企業、金融事業者、電子金融事業者に付されていた除外条件がなくなる。利用者数の算定基準も、前年度末直前3カ月の1日平均から前年度全体の1日平均に変わる。

科技情報通信省は、新たに義務を負う企業のために改正内容を反映した「情報保護公示ガイドライン」を出し、コンサルティングを支援するとした。オンラインの常時相談と教育、地域巡回訪問教育も並行する。再立法予告文の制定・改正理由には、最近のハッキング事故で高まった国民の不安を克服し、国家の情報保護能力を高めるという説明が入っている。科技情報通信省は1月9日の報道資料で、改正の要旨を「上場企業の売上高基準の削除、情報保護管理体系(ISMS)認証企業の包含および例外条項の廃止」、目的を「企業の自発的なセキュリティー投資の誘導および国民の知る権利の保障強化」とまとめた。同日、チェ・ウヒョク科技情報通信省ネットワーク政策室長は「今回の制度改善で、従来より増えた企業の情報保護状況を確認できるようになった」と述べた。

緊急点検で「特異事項は見つからなかった」とされたKTも2カ月後の対策ブリーフィングに上る

公示拡大の議論は、大型事故が起きた後に加速した。科技情報通信省の関係者は昨年8月11日の政策ブリーフィングの資料で、「SKTの侵害事故を機に、KT、LGU+など他の通信会社とネイバー、カカオ、クーパン、ウアハン兄弟など主要プラットフォーム企業に対して今週まで緊急現場点検を推進した結果、特異事項は見つからなかった」と明らかにした。

2カ月余り後に開かれた総合対策のブリーフィングでは、その点検対象だったKTの事故が質問に上った。ある記者は「最近問題になったKTのフェムトセルも、結局はKTが全量廃棄できなかったために起きた問題だと理解していますが」と質問した。リュ・ジェミョン次官はフェムトセルについて「一つ、回収、回収する問題は簡単ではありません」と答えた。リュ次官はまた「今回のKTの事故に関連して、少額決済の際には、今SMSやARS認証だけで行っているものはなくそうと思います」と述べた。同じ質疑応答ではロッテカードの事故も取り上げられた。

政府が打ち出した処方は、点検の拡大と公示の拡大だった。政策ブリーフィングの資料は「ハッキングに対する蔓延した不安感を解消するため、公共・金融・通信など国民の大多数が利用する1600余りのITシステムについて大々的なセキュリティー脆弱性点検を直ちに推進する」と明らかにした。シン・ジンチャン事務局長は、このうち金融業界の260システムの点検をその月末までに終えるとした。公示義務の拡大はこの対策パッケージに入ったが、法的根拠である施行令はブリーフィングから1年近くたった今月20日に閣議を通過した。

同じ対策には、事故企業を狙った課題が多く盛り込まれた。政府は「ハッキングの痕跡を確保すれば、届け出がなくても政府が迅速に現場を調査できるよう政府の調査権限を拡大」するとした。ISMS・ISMS-P認証審査は現場審査中心に変え、認証企業で重大な欠陥が生じれば認証を取り消すことにした。企業のセキュリティー上の不注意でハッキングが発生すれば消費者の立証責任の負担を軽減し、個人情報流出の課徴金収入を被害者支援などに充てる基金の新設を検討するという内容も入った。CEOの責任とCISOの役割の強化も課題に上がった。ブリーフィングでは、1600余りの点検対象のうち主要企業900社と金融機関260機関が言及され、ある記者は公共機関の基盤施設が228カ所という数値を挙げて質問した。

公示企業は増えても事後検証は773社中40社にとどまる

公示が実際のセキュリティー水準を反映しているかは、検証にかかっている。科技情報通信省と韓国インターネット振興院(KISA)は、昨年の公示企業773社(義務666社、自律107社)のうち「国民生活と密接なサービスを提供する通信3社など40社」を選び、11月末までの3カ月間事後検証すると明らかにした。773社のうち検証対象は約5%だった。検証対象は、企業が6月30日までに公示した2024年度の情報保護投資と人員などの項目だった。

検証体系は、会計・監理の専門性を持つ公示検証団が公示内容を調べ、専門家審議委員会が最終審議する方式だ。重大な誤りが見つかれば企業に修正を要請し、企業は修正要請の内容と関連する理由書を期限内に電子公示システムに提出しなければならない。検証対象40社には、KT、SKテレコム、LGユープラスの通信3社が入った。

施行令が変われば、公示企業は今より大きく増える。売上高3000億ウォンの基準を下回る上場企業全体と公共機関、金融会社、電子金融業者、ISMS認証義務対象者が一度に入ってくる。しかし科技情報通信省は、改正後に義務対象が何社になるのか、事後検証の対象と検証人員・予算をどれだけ増やすのかを20日の報道資料で明らかにしなかった。科技情報通信省が毎年公開してきた義務対象企業は2023年に655社、昨年の義務公示企業は666社だった。

公示制度は当初は自律だった。科技情報通信省の2019年1月の「情報保護公示制度活性化方策」の資料によると、前年に公示に参加した企業は20社だった。当時政府は、公示費用負担の軽減、優秀企業の表彰、広報の強化を対策として打ち出した。