Extinderea obligației de raportare privind securitatea informațiilor, promisă pentru „prima jumătate a anului viitor”, amânată pentru 2027; verificări la 40 din 773 de companii

SEUL

Obligația de raportare privind securitatea informațiilor pentru toate companiile listate, pe care guvernul declarase în octombrie anul trecut că „intenționează să o aplice din prima jumătate a anului viitor”, după un șir de atacuri informatice care au lovit operatori de telecomunicații, companii financiare și chiar rețeaua de lucru a guvernului, va intra în vigoare abia la 1 ianuarie 2027. Ministerul Științei și TIC a anunțat că proiectul de modificare a decretului de aplicare a „Legii privind promovarea industriei securității informațiilor” (Legea industriei securității informațiilor) cu acest conținut a fost adoptat în ședința de guvern din 20 octombrie. Decretul modificat elimină condiția unei „cifre de afaceri de cel puțin 300 de miliarde de woni” pentru companiile listate, impunând obligația de raportare tuturor companiilor listate la KOSPI și KOSDAQ, și elimină și excepțiile pentru instituțiile publice, companiile financiare și operatorii de finanțe electronice. Totuși, pentru firmele mici dintre companiile listate se va aplica abia de la 1 ianuarie 2029. Sfera raportării se lărgește, dar din cele 773 de companii care au raportat anul trecut, guvernul a verificat ulterior doar 40, iar amenda contravențională care poate fi aplicată companiilor care refuză verificarea sau nu publică o raportare corectată este de cel mult 10 milioane de woni.

Extinderea raportării, promisă pentru „prima jumătate a anului viitor”, intră în vigoare abia în ianuarie 2027

Extinderea raportării a fost o sarcină-cheie a „planului cuprinzător interministerial de protecție a informațiilor”, prezentat în comun de ministerele implicate pe 22 octombrie anul trecut. Documentul Korea Policy Briefing de atunci arăta că, „extinzând la toate companiile listate obligația de raportare privind securitatea informațiilor”, guvernul „introduce un sistem de clasificare și publicare a nivelului capacităților de securitate” pe baza rezultatelor raportării. Același document prezenta planul ca fiind „axat pe sarcini pe termen scurt, care pot fi aplicate imediat”. Arăta că o „strategie națională de securitate cibernetică”, cu sarcinile pe termen mediu și lung, va fi elaborată separat până la sfârșitul anului, iar la sesiunea de întrebări și răspunsuri a briefingului s-a răspuns că va fi elaborată și prezentată „până în decembrie”.

Momentul aplicării a fost menționat direct la sesiunea de întrebări și răspunsuri. Un jurnalist a întrebat: „Aș vrea să întreb încă o dată doar despre calendar: extinderea la toate companiile listate a obligației de raportare privind securitatea informațiilor se aplică chiar de anul viitor?”, iar partea guvernamentală a răspuns: „Intenționăm să aplicăm obligația de raportare privind securitatea informațiilor din prima jumătate a anului viitor.” Stenograma nu indică cine a dat acest răspuns. La briefing se aflau vicepremierul și ministrul științei și TIC Bae Kyung-hoon, al doilea viceministru al științei și TIC Ryu Je-myung, Shin Jin-chang, secretar general al Comisiei pentru Servicii Financiare, Lee Jeong-ryeol, secretar general al Comisiei pentru Protecția Informațiilor Personale, Kim Chang-seop, al treilea director adjunct al Serviciului Național de Informații, și Lee Yong-seok, șef al Oficiului pentru inovarea guvernării digitale din Ministerul Administrației Publice și Securității.

Aplicarea efectivă a venit mai târziu. Când a pus în dezbatere publică proiectul de modificare a decretului, pe 9 ianuarie anul acesta, Ministerul Științei și TIC a spus că „intenționează să procedeze astfel încât să se poată aplica începând cu entitățile obligate la raportarea privind securitatea informațiilor din 2027”. În acel moment, data aplicării era deja stabilită pentru 2027. La reluarea dezbaterii publice din 11 mai (Anunțul Ministerului Științei și TIC nr. 2026-569), dispozițiile tranzitorii s-au schimbat. A fost introdusă o prevedere nouă care acordă firmelor mici, în sensul Legii-cadru privind IMM-urile, o amânare de doi ani a datei de intrare în vigoare, ținând cont de personal și de condițiile de gestiune. La dezbaterea din ianuarie, documentul Korea Policy Briefing arăta că excepția pentru firmele mici va fi eliminată. Termenul de depunere a opiniilor la reluarea dezbaterii a fost 22 iunie, iar proiectului i-au fost anexate o analiză a impactului reglementării și o expunere de motive pe articole. În final, extinderea raportării, prezentată în octombrie anul trecut drept „sarcină pe termen scurt”, începe în 2027, iar firmele mici listate vor începe să raporteze abia după încă doi ani.

Chiar și prezentarea planului cuprinzător a întârziat. La sesiunea de întrebări și răspunsuri, reprezentantul guvernului care a răspuns a început cu „în privința motivelor întârzierii față de sfârșitul lui septembrie, de fapt, noi am continuat, în jurul a cinci ministere” și a adăugat: „A existat o oarecare întârziere.”

Ministerul Științei și TIC invocă eliminarea zonelor oarbe și garantarea dreptului publicului la informare

Ministerul Științei și TIC a explicat că prin această modificare va elimina zonele oarbe ale sistemului de raportare și va garanta dreptul publicului la informare, încurajând totodată companiile să vadă securitatea informațiilor ca pe o investiție, nu ca pe un cost. Vicepremierul Bae Kyung-hoon a declarat pe 20 că „raportarea privind securitatea informațiilor este un sistem important, care garantează dreptul publicului la informare și încurajează investițiile voluntare ale companiilor în securitatea informațiilor”. „Sper să se instaleze un cerc virtuos în care investițiile în securitatea informațiilor să devină mai active, iar nivelul securității informațiilor în întreaga țară să crească”, a spus vicepremierul Bae.

Conținutul modificării vizează extinderea sferei entităților obligate. Potrivit anunțului de reluare a dezbaterii, articolul 8 alineatul 1 din decret elimină atât condiția desemnării și declarării unui responsabil cu securitatea informațiilor (CISO), cât și condiția unei cifre de afaceri de cel puțin 300 de miliarde de woni, și include companiile listate pe piața de valori mobiliare și la KOSDAQ. Potrivit documentului ministerului din 20, companiile de achiziție cu scop special (SPAC) sunt excluse. Entitățile obligate, la sfârșitul anului precedent, să obțină certificarea sistemului de management al securității informațiilor (ISMS) în temeiul Legii rețelelor de informații și comunicații sunt adăugate ca punctul 4 al aceluiași alineat. Articolul 8 alineatul 2 este abrogat, astfel că dispar condițiile de excludere aplicate instituțiilor publice, firmelor mici, operatorilor financiari și operatorilor de finanțe electronice. Criteriul de calcul al numărului de utilizatori se schimbă și el, de la media zilnică a ultimelor trei luni ale anului precedent la media zilnică a întregului an precedent.

Ministerul a anunțat că, pentru companiile nou obligate, va publica „ghiduri privind raportarea securității informațiilor” care reflectă modificarea și va oferi consultanță. Vor fi organizate și consultări online permanente, cursuri și cursuri itinerante în regiuni. Expunerea de motive din anunțul de reluare a dezbaterii explică faptul că modificarea urmărește depășirea neliniștii publicului amplificate de recentele atacuri informatice și creșterea capacităților naționale de securitate a informațiilor. În comunicatul din 9 ianuarie, ministerul rezumase esența modificării drept „eliminarea criteriului cifrei de afaceri pentru companiile listate, includerea companiilor certificate ISMS și abolirea excepțiilor”, iar scopul drept „încurajarea investițiilor voluntare în securitate ale companiilor și consolidarea garantării dreptului publicului la informare”. În aceeași zi, Choi Woo-hyuk, șef al Oficiului pentru politica rețelelor din minister, a declarat: „Prin această îmbunătățire a sistemului putem cunoaște situația securității informațiilor la mai multe companii decât înainte.”

KT, la care inspecția de urgență „nu a constatat nimic deosebit”, a ajuns două luni mai târziu în briefingul despre plan

Discuțiile privind extinderea raportării au căpătat viteză după incidente grave. Un oficial al Ministerului Științei și TIC a declarat într-un document Korea Policy Briefing din 11 august anul trecut că, „în urma incidentului de intruziune de la SKT, au fost efectuate până săptămâna aceasta inspecții de urgență la fața locului la ceilalți operatori de telecomunicații, precum KT și LG U+, și la principalele platforme, precum Naver, Kakao, Coupang și Woowa Brothers, iar în urma acestora nu s-a constatat nimic deosebit”.

La briefingul despre planul cuprinzător, ținut la puțin peste două luni după aceea, incidentul de la KT, care fusese printre entitățile inspectate, a fost subiect de întrebări. Un jurnalist a întrebat: „Știu că și problema femtocelulelor KT, care a ieșit recent la iveală, a apărut în cele din urmă pentru că KT nu a reușit să le elimine pe toate.” Viceministrul Ryu Je-myung a răspuns, despre femtocelule: „Un lucru, recuperarea, problema recuperării nu este ușoară.” Viceministrul Ryu a mai declarat: „În legătură cu incidentul de la KT, vrem să eliminăm, la micro-plăți, autentificarea doar prin SMS sau ARS.” La aceeași sesiune de întrebări și răspunsuri a fost menționat și incidentul de la Lotte Card.

Remediile prezentate de guvern au fost extinderea inspecțiilor și a raportării. Documentul Korea Policy Briefing arăta că, „pentru a risipi neliniștea larg răspândită față de atacurile informatice, se lansează imediat o amplă verificare a vulnerabilităților de securitate pentru cele aproximativ 1.600 de sisteme informatice folosite de marea majoritate a populației, din sectorul public, financiar, al telecomunicațiilor etc.”. Shin Jin-chang a spus că, dintre acestea, verificarea celor 260 de sisteme din sectorul financiar va fi încheiată până la sfârșitul lunii. Extinderea obligației de raportare a fost inclusă în acest pachet de măsuri, dar decretul de aplicare care îi oferă temeiul legal a fost adoptat în ședința de guvern abia pe 20 ale acestei luni, la aproape un an după briefing.

Același plan cuprindea mai multe sarcini vizând companiile afectate de incidente. Guvernul a declarat că va „extinde competențele de anchetă ale guvernului, astfel încât, dacă obține indicii ale unui atac informatic, să poată ancheta rapid la fața locului chiar și fără o sesizare”. Auditurile de certificare ISMS și ISMS-P vor fi reorientate spre verificări la fața locului, iar certificarea va fi retrasă dacă la o companie certificată apare o deficiență gravă. Planul prevedea și reducerea sarcinii probei pentru consumatori atunci când un atac informatic are loc din cauza neglijenței în materie de securitate a companiei, precum și analizarea creării unui fond care să folosească veniturile din amenzile pentru scurgeri de date personale, între altele, pentru sprijinirea victimelor. Întărirea răspunderii CEO și a rolului CISO a figurat și ea printre sarcini. La briefing au fost menționate, dintre cele circa 1.600 de entități de verificat, 900 de companii importante și 260 de instituții financiare, iar un jurnalist a pus o întrebare citând cifra de 228 de infrastructuri ale instituțiilor publice.