Планы правительства ввести обязательное раскрытие данных об инфобезопасности в «первой половине следующего года» отложены до 2027 года: проверены лишь 40 из 773 компаний

СЕУЛ

Обязательное раскрытие информации об информационной безопасности для всех публичных компаний, которое правительство в октябре прошлого года планировало ввести «с первой половины следующего года» после череды хакерских атак на операторов связи, финансовые организации и даже правительственные сети, вступит в силу только 1 января 2027 года. Министерство науки и ИКТ сообщило, что поправки к указу о применении «Закона о содействии развитию индустрии информационной безопасности» (Закон об индустрии информационной безопасности) с соответствующим содержанием были одобрены на заседании Государственного совета 20-го числа. Обновленный указ отменяет требование о «выручке от 300 млрд вон» для зарегистрированных на бирже компаний, распространяя обязанность раскрытия информации на все корпорации, котирующиеся на KOSPI и KOSDAQ, а также исключает изъятия для государственных учреждений, финансовых компаний и операторов электронных финансовых услуг. В то же время для малых предприятий среди публичных компаний требование начнет действовать с 1 января 2029 года. Хотя сфера раскрытия расширяется, из 773 компаний, опубликовавших отчеты в прошлом году, правительство провело последующую проверку лишь в отношении 40, а максимальный административный штраф, который может быть наложен на компанию за отказ от проверки или непредоставление скорректированной информации, составляет до 10 млн вон.

Расширение раскрытия, которое правительство обещало в «первой половине следующего года», заработает лишь в январе 2027 года

Расширение раскрытия информации являлось ключевой задачей «Межведомственного комплексного плана по защите информации», обнародованного профильными министерствами 22 октября прошлого года. В материалах правительственного брифинга тогда отмечалось, что «наряду с расширением круга компаний, обязанных раскрывать информацию об информбезопасности, на все листинговые компании», на основе полученных данных будет «введена система градации и публичного обнародования уровней возможностей в сфере безопасности». В том же документе комплексный план характеризовался как ориентированный «преимущественно на краткосрочные задачи, подлежащие немедленной реализации». Указывалось, что «Национальная стратегия кибербезопасности», содержащая средне- и долгосрочные задачи, будет сформирована отдельно до конца года, а в ходе ответов на вопросы брифинга прозвучало намерение разработать и опубликовать ее «до конца декабря».

Сроки реализации были названы непосредственно в ходе сессии вопросов и ответов на брифинге. Когда один из журналистов поинтересовался: «Уточните еще раз по срокам: начнется ли распространение обязательного раскрытия информации об информационной безопасности на все зарегистрированные на бирже компании уже со следующего года?», представитель правительства ответил: «Мы планируем ввести обязательное раскрытие информации об информационной безопасности с первой половины следующего года». В стенограмме автор этого высказывания не указан. На брифинге присутствовали заместитель премьер-министра и министр науки и ИКТ Пэ Гён Хун, второй заместитель министра науки и ИКТ Рю Дже Мён, руководитель аппарата Комиссии по финансовым услугам Син Джин Чхан, руководитель аппарата Комиссии по защите персональных данных Ли Джон Рёль, третий заместитель директора Национального агентства разведки Ким Чхан Соп и глава управления инноваций цифрового правительства Министерства государственного управления и безопасности Ли Ён Сок.

На практике реализация затянулась. 9 января текущего года, опубликовав предварительное уведомление о поправках к указу, Министерство науки и ИКТ заявило, что намерено «организовать процесс так, чтобы нормы применялись начиная с субъектов раскрытия информации об информационной безопасности 2027 года». К этому моменту срок вступления в силу уже был сдвинут на 2027 год. В повторном уведомлении от 11 мая (извещение Министерства науки и ИКТ № 2026-569) дополнительные положения претерпели изменения: был добавлен пункт о двухлетней отсрочке введения нормы для малых предприятий в соответствии с Рамочным законом о малом и среднем предпринимательстве с учетом их кадровых и управленческих условий. При этом в январских материалах правительственного брифинга утверждалось, что исключения для малых предприятий будут упразднены. Период сбора отзывов по повторному уведомлению продолжался до 22 июня, к проекту прилагались анализ регуляторного воздействия и постатейное обоснование причин принятия и изменения норм. В итоге расширение раскрытия, предложенное в октябре прошлого года в качестве «краткосрочной задачи», начнется только в 2027 году, а малые публичные предприятия приступят к публикациям еще двумя годами позже.

С опозданием был представлен и сам комплексный план. Отвечая на вопросы журналистов, представитель правительства начал со слов: «Что касается причин задержки с конца сентября, то фактически мы продолжали работу в рамках пяти профильных ведомств», после чего признал, что «потребовалось несколько больше времени».

Министерство науки и ИКТ заявляет об устранении серых зон и защите права граждан на информацию

Министерство науки и ИКТ пояснило, что принятые поправки призваны устранить серые зоны в системе раскрытия информации, гарантировать право граждан на знание ситуации и побудить бизнес воспринимать информационную безопасность не как издержки, а как инвестиции. Заместитель премьер-министра Пэ Гён Хун подчеркнул 20-го числа: «Раскрытие данных об информационной безопасности — это важнейший институт, обеспечивающий право общества на информацию и стимулирующий добровольные корпоративные инвестиции в безопасность». Он добавил: «Мы рассчитываем на формирование устойчивого позитивного цикла, в рамках которого инвестиции в информбезопасность активизируются, а общий уровень защиты информации в стране возрастет».

Изменения сфокусированы на расширении охвата. Согласно тексту повторного уведомления о законопроекте, в части 1 статьи 8 указа исключаются как условия назначения и уведомления о директоре по информационной безопасности (CISO), так и планка выручки в 300 млрд вон, а в перечень субъектов включаются компании, торгующиеся на KOSPI и KOSDAQ. В то же время, по данным министерства от 20-го числа, специализированные компании по слияниям и поглощениям (SPAC) исключаются из этого списка. Пунктом 4 этой же части дополняется категория лиц, обязанных получить сертификат системы менеджмента информационной безопасности (ISMS) в соответствии с Законом об информационно-коммуникационных сетях по состоянию на конец предыдущего года. Часть 2 статьи 8 аннулируется, вследствие чего исчезают действующие исключения для государственных учреждений, малых предприятий, финансовых институтов и операторов электронных финансовых услуг. База расчета числа пользователей также меняется: вместо среднесуточного показателя за три месяца, предшествующих концу года, будет учитываться среднегодовой показатель за весь предыдущий год.

Для компаний, впервые подпадающих под действие новых норм, Министерство науки и ИКТ пообещало выпустить обновленное «Руководство по раскрытию информации об информационной безопасности» и предоставить консультационную поддержку. Наряду с этим планируется организовать регулярные онлайн-консультации, обучающие программы и выездные региональные тренинги. В обосновании к проекту нормативного акта отмечается, что цель новшеств — снять растущую тревогу граждан на фоне участившихся взломов и повысить национальный потенциал защиты информации. В пресс-релизе от 9 января ведомство обобщило суть поправок как «отмену критерия выручки для листинговых компаний, включение предприятий с сертификацией ISMS и отмену исключений», а целью назвало «стимулирование добровольных инвестиций в безопасность и укрепление гарантий права общества на информацию». В тот же день начальник управления сетевой политики министерства Чхве У Хёк отметил: «Благодаря этой оптимизации институтов мы сможем отслеживать реальное состояние информационной безопасности заметно большего числа компаний, чем прежде».

KT, у которой при экстренной проверке «нарушений не выявили», через два месяца попала в повестку правительственного брифинга

Обсуждение расширения раскрытия активизировалось после резонансных инцидентов. Представитель Министерства науки и ИКТ 11 августа прошлого года в официальном сообщении заявлял: «В связи с инцидентом взлома в SKT мы до конца текущей недели провели срочные выездные проверки других операторов, таких как KT и LGU+, а также ведущих платформ, включая Naver, Kakao, Coupang и Woowa Brothers, и никаких нарушений выявлено не было».

Однако спустя чуть более двух месяцев на брифинге по итогам разработки комплексных мер вопросы прессы коснулись инцидента именно в проверенной KT. Журналист спросил: «Насколько известно, недавняя проблема с фемтосотами KT также возникла из-за того, что KT не смогла утилизировать их в полном объеме?». Заместитель министра Рю Дже Мён, комментируя ситуацию вокруг фемтосот, признал: «Действительно, вопрос их изъятия и сбора сопряжен с немалыми трудностями». Рю также добавил: «В связи с данным инцидентом в KT мы намерены отказаться от практики проведения микроплатежей исключительно на основании СМС- или ARS-аутентификации». В ходе той же встречи упоминался и инцидент в Lotte Card.

В качестве мер противодействия правительство предложило расширить проверки и ужесточить раскрытие данных. В материалах брифинга говорилось: «В целях устранения массовой тревоги перед угрозой взломов мы незамедлительно организуем масштабную проверку уязвимостей безопасности примерно 1600 IT-систем, которыми пользуется подавляющее большинство населения, включая государственный, финансовый и телекоммуникационный секторы». Глава аппарата Син Джин Чхан заявил, что проверка 260 систем в финансовом секторе будет завершена к концу того же месяца. Расширение обязательств по раскрытию вошло в этот пакет мер, однако нормативная база в виде указа прошла через Государственный совет только 20-го числа текущего месяца — почти год спустя после брифинга.

Этот же пакет мер включил задачи, направленные непосредственно против допустивших сбои компаний. Правительство объявило о намерении «расширить полномочия государственных органов для оперативного проведения расследований на местах даже без предварительного уведомления от компании при обнаружении признаков взлома». Сертификационный аудит систем ISMS и ISMS-P решено перевести преимущественно в выездной формат с аннулированием сертификатов в случае обнаружения критических дефектов. Было заявлено об ослаблении бремени доказывания для потребителей при взломах, вызванных халатностью компании, а также о рассмотрении вопроса о создании фонда помощи пострадавшим за счет средств от штрафов за утечки персональных данных. В повестку также вошло усиление ответственности генеральных директоров (CEO) и роли CISO. На брифинге уточнялось, что из примерно 1600 объектов проверки 900 приходится на крупные компании и 260 — на финансовые институты, а один из журналистов сослался на цифру в 228 объектов инфраструктуры государственных учреждений.

Число отчитывающихся компаний растет, однако последующей проверке подверглись лишь 40 из 773

Отражает ли отчетность реальный уровень безопасности, напрямую зависит от процедур верификации. Министерство науки и ИКТ совместно с Корейским агентством интернета и безопасности (KISA) сообщили, что из 773 компаний, подавших сведения в прошлом году (666 в обязательном порядке и 107 добровольно), для проведения последующей проверки в течение трех месяцев до конца ноября было отобрано «40 компаний, включая трех операторов связи, предоставляющих критически важные для населения сервисы». Доля проверяемых составила около 5% от общего числа. Проверке подлежали данные об инвестициях в информационную безопасность и профильном персонале за 2024 год, раскрытые предприятиями до 30 июня.