Ampliação da divulgação de segurança da informação que o governo previa para o 'primeiro semestre do próximo ano' fica para 2027; verificadas 40 de 773 empresas
SEUL
A divulgação obrigatória de informações sobre segurança da informação por todas as empresas listadas em bolsa, que o governo disse em outubro do ano passado que "planeja aplicar a partir do primeiro semestre do próximo ano", depois de uma série de ataques hackers que atingiram operadoras de telecomunicações, instituições financeiras e até a rede de trabalho do governo, só entrará em vigor em 1º de janeiro de 2027. O Ministério da Ciência e TIC informou que a revisão do decreto de aplicação da 'Lei de Promoção da Indústria de Segurança da Informação' (Lei da Indústria de Segurança da Informação) com esse conteúdo foi aprovada no dia 20 pela reunião do Conselho de Ministros. O decreto revisado elimina o requisito de 'vendas de 300 bilhões de wons ou mais' para as listadas, impondo a obrigação de divulgação a todas as empresas listadas na KOSPI e na KOSDAQ, e também elimina as exceções para instituições públicas, instituições financeiras e empresas de serviços financeiros eletrônicos. No entanto, para as pequenas empresas listadas, a regra valerá a partir de 1º de janeiro de 2029. O alcance da divulgação aumenta, mas, das 773 empresas que fizeram a divulgação no ano passado, o governo verificou posteriormente 40, e a multa administrativa que pode ser aplicada às empresas que recusarem a verificação ou não fizerem a divulgação corrigida é de até 10 milhões de wons.
Ampliação que o governo previa para o 'primeiro semestre do próximo ano' só vale em janeiro de 2027
A ampliação da divulgação era uma tarefa central do 'Plano Abrangente Interministerial de Proteção de Informações', apresentado em conjunto pelos ministérios envolvidos em 22 de outubro do ano passado. O documento do Policy Briefing da época afirmava que, "ampliando para todas as listadas as empresas obrigadas a divulgar informações sobre segurança da informação", seria "introduzido um sistema que classifica e divulga o nível de capacidade de segurança" com base nos resultados da divulgação. O mesmo documento apresentava o plano dizendo que "foi elaborado com foco em tarefas de curto prazo que podem ser executadas imediatamente". Disse que a 'Estratégia Nacional de Cibersegurança', com as tarefas de médio e longo prazo, seria elaborada à parte ainda naquele ano, e na sessão de perguntas do briefing respondeu-se que ela seria elaborada e apresentada "até dezembro".
O momento de aplicação surgiu diretamente na sessão de perguntas. A imprensa perguntou: "Pergunto mais uma vez só sobre o prazo: a obrigação de divulgação de segurança da informação para todas as listadas vai valer já a partir do próximo ano?", e o lado do governo respondeu: "Temos o plano de aplicar a obrigação de divulgação de segurança da informação a partir do primeiro semestre do próximo ano". A transcrição não identifica quem deu essa resposta. Naquela ocasião estavam presentes o vice-primeiro-ministro e ministro da Ciência e TIC, Bae Kyung-hoon; o segundo vice-ministro da Ciência e TIC, Ryu Je-myung; Shin Jin-chang, titular da Secretaria-Geral da Comissão de Serviços Financeiros; Lee Jung-ryul, à frente da Secretaria-Geral da Comissão de Proteção de Informações Pessoais; Kim Chang-seop, à frente da Terceira Subdireção do Serviço Nacional de Inteligência; e Lee Yong-seok, responsável pelo Escritório de Inovação do Governo Digital do Ministério do Interior e Segurança.
A aplicação real veio mais tarde. Ao colocar em consulta pública prévia a revisão do decreto em 9 de janeiro deste ano, o Ministério da Ciência e TIC disse que "está previsto avançar para que possa ser aplicada a partir dos obrigados à divulgação de segurança da informação de 2027". Nesse momento, o prazo de aplicação já estava fixado em 2027. Na segunda consulta pública prévia, de 11 de maio (Aviso do Ministério da Ciência e TIC nº 2026-569), as disposições complementares mudaram. Foi incluído que, para as pequenas empresas segundo a Lei Básica das Pequenas e Médias Empresas, a data de entrada em vigor é adiada em dois anos, considerando pessoal e condições de gestão. Na consulta pública de janeiro, o documento do Policy Briefing dizia que a exceção para as pequenas empresas seria eliminada. O prazo para envio de opiniões na segunda consulta foi até 22 de junho, e junto com o projeto normativo foram anexados uma análise de impacto regulatório e uma exposição de motivos por artigo. No fim, a ampliação da divulgação apresentada em outubro do ano passado como 'tarefa de curto prazo' começa em 2027, e as pequenas listadas só começarão a divulgar dois anos depois disso.
A própria apresentação do plano abrangente já tinha atrasado. Na sessão de perguntas, quem respondeu pelo governo começou dizendo: "Sobre o motivo do atraso do fim de setembro, na verdade nós continuamos focados nos 5 ministérios", e depois disse: "Houve um certo atraso".
Ministério da Ciência e TIC alega eliminar pontos cegos e garantir o direito da população à informação
O Ministério da Ciência e TIC explicou que, com a revisão, vai eliminar os pontos cegos do sistema de divulgação e garantir o direito da população à informação, ao mesmo tempo em que vai induzir as empresas a ver a proteção da informação como investimento, e não como custo. Bae disse no dia 20: "A divulgação de segurança da informação é um sistema importante que garante o direito da população à informação e induz o investimento voluntário das empresas em proteção da informação". Bae disse: "Espero que se consolide um círculo virtuoso em que o investimento em proteção da informação se intensifique e o nível de proteção da informação do país como um todo aumente".
O conteúdo da revisão está voltado à ampliação dos obrigados. Segundo o texto da segunda consulta pública prévia, no artigo 8, parágrafo 1, do decreto são eliminadas ao mesmo tempo a condição de designar e notificar um diretor de segurança da informação (CISO) e a condição de vendas de 300 bilhões de wons ou mais, e são incluídas as empresas listadas no mercado de valores mobiliários e na KOSDAQ. Segundo o documento do Ministério da Ciência e TIC do dia 20, as empresas com fins específicos de aquisição (SPAC) ficam de fora. Os obrigados à certificação do sistema de gestão de segurança da informação (ISMS) pela Lei de Redes de Informação e Comunicação no fim do ano anterior entram como novo inciso 4 do mesmo parágrafo. O artigo 8, parágrafo 2, é eliminado, e desaparecem as condições de exclusão de instituições públicas, pequenas empresas, empresas financeiras e empresas de serviços financeiros eletrônicos. O critério de cálculo do número de usuários também passa da média diária dos três meses anteriores ao fim do ano anterior para a média diária de todo o ano anterior.
O Ministério da Ciência e TIC disse que vai publicar 'Diretrizes de divulgação de segurança da informação' que reflitam a revisão e oferecer consultoria às empresas que passam a ter a obrigação. Também haverá atendimento on-line permanente, treinamento e treinamento itinerante por regiões. A exposição de motivos do texto da segunda consulta inclui a explicação de que se busca superar a inquietação da população, ampliada pelos recentes ataques hackers, e elevar a capacidade nacional de proteção da informação. No comunicado de 9 de janeiro, o Ministério da Ciência e TIC resumiu o conteúdo da revisão como 'eliminação do critério de vendas das empresas listadas, inclusão das empresas com certificação do sistema de gestão de segurança da informação (ISMS) e abolição das exceções', e o objetivo como 'induzir o investimento voluntário das empresas em segurança e reforçar a garantia do direito da população à informação'. No mesmo dia, Choi Woo-hyuk, responsável pelo Escritório de Política de Redes do Ministério da Ciência e TIC, disse: "Com esta melhoria do sistema, passa a ser possível verificar a situação de proteção da informação de mais empresas do que antes".
KT, em que a inspeção de emergência 'não encontrou nada digno de nota', também apareceu dois meses depois no briefing do plano
O debate sobre a ampliação da divulgação ganhou velocidade depois de grandes incidentes. Um funcionário do Ministério da Ciência e TIC disse no documento do Policy Briefing de 11 de agosto do ano passado: "A partir do incidente de invasão da SKT, fizemos até esta semana inspeções de emergência no local em outras operadoras de telecomunicações, como KT e LGU+, e nas principais plataformas, como Naver, Kakao, Coupang e Woowa Brothers, e não foi encontrado nada digno de nota".
No briefing do plano abrangente, realizado pouco mais de dois meses depois, o incidente da KT, que havia sido alvo daquela inspeção, entrou nas perguntas. A imprensa observou: "Pelo que sei, o recente problema das femtocélulas da KT também ocorreu, no fim, porque a KT não conseguiu descartar todas". Ryu Je-myung respondeu sobre as femtocélulas: "Uma coisa, o recolhimento, a questão de recolher não é fácil". Ryu disse ainda: "Em relação a este incidente da KT, nos micropagamentos queremos eliminar o uso apenas da autenticação por SMS ou ARS". Na mesma sessão de perguntas também se mencionou o incidente da Lotte Card.
A receita apresentada pelo governo foi ampliar as inspeções e a divulgação. O documento do Policy Briefing afirmava: "Para dissipar a inquietação generalizada com os ataques hackers, inicia-se imediatamente uma ampla inspeção de vulnerabilidades de segurança em cerca de 1.600 sistemas de TI usados pela maioria da população, como os dos setores público, financeiro e de telecomunicações". Shin Jin-chang disse que concluiria até o fim daquele mês a inspeção de 260 sistemas do setor financeiro entre eles. A ampliação da obrigação de divulgação entrou nesse pacote de medidas, mas o decreto que lhe dá base legal foi aprovado pelo Conselho de Ministros no dia 20 deste mês, quase um ano depois do briefing.
O mesmo plano trazia várias tarefas voltadas às empresas que sofrem incidentes. O governo disse que "ampliará os poderes de investigação do governo para que, ao obter indícios de ataque hacker, possa investigar rapidamente no local mesmo sem notificação". Decidiu que a auditoria das certificações ISMS e ISMS-P passaria a se concentrar em auditorias presenciais e que a certificação seria cancelada se uma empresa certificada apresentar falhas graves. Também foi incluído que, se ocorrer um ataque hacker por negligência de segurança de uma empresa, o ônus da prova do consumidor será aliviado, e que se estudará a criação de um fundo que destine a arrecadação de sanções pecuniárias por vazamento de dados pessoais ao apoio às vítimas, entre outros fins. O reforço da responsabilidade do CEO e do papel do CISO também entrou entre as tarefas. No briefing foram mencionados, entre os cerca de 1.600 alvos de inspeção, 900 grandes empresas e 260 instituições financeiras, e a imprensa fez uma pergunta citando o número de 228 infraestruturas de instituições públicas.