政府稱「明年上半年」的資安揭露擴大延至2027年　查核僅773家中的40家

首爾

電信公司、金融公司乃至政府業務網接連發生駭客事故後，政府去年10月表示「計畫自明年上半年起施行」的全體上市公司資安揭露義務化，要到2027年1月1日才施行。韓國科學技術資訊通信部表示，載有上述內容的「資訊保護產業振興法」（資訊保護產業法）施行令修正案已於20日在國務會議通過。修正施行令取消上市公司「營收3000億韓元以上」的要件，讓KOSPI、KOSDAQ全體上市法人負有揭露義務，並刪除公共機關、金融公司、電子金融業者的例外。但上市公司中的小型企業自2029年1月1日起適用。揭露範圍雖擴大，但去年揭露的773家中，政府事後查核的只有40家，對拒絕查核或未進行更正揭露的企業可課處的罰鍰最高為1000萬韓元。

政府稱「明年上半年」的揭露擴大到2027年1月才施行

揭露擴大是去年10月22日跨部會聯合發表的「跨部會資訊保護綜合對策」核心課題。當時的政策簡報資料表示，「在將資安揭露義務企業擴大至全體上市公司的同時」，將以揭露結果為基礎「導入將資安能力水準分級並公開的制度」。同一資料介紹綜合對策「以可立即執行的短期課題為主提出」。資料表示，納入中長期課題的「國家網路安全戰略」將於年內另行制定，簡報問答中則出現將「在12月內」制定並發表的答覆。

施行時間在簡報問答中被直接提及。一名記者問道，「資安揭露義務擴大至全體上市公司，是不是明年就馬上進行，想再請教一次時間」，政府方面答稱，「資安揭露義務計畫自明年上半年起施行」。逐字紀錄中未標明這段答覆的發言者。當時一同站在台上的有副總理兼科學技術資訊通信部長官Bae Kyung-hoon、科學技術資訊通信部第二次官Ryu Je-myung、金融委員會秘書長Shin Jin-chang、個人資訊保護委員會秘書長Lee Jeong-ryeol、國家情報院第三次長Kim Chang-seop、行政安全部數位政府革新室長Lee Yong-seok。

實際施行比這更晚。科學技術資訊通信部今年1月9日預告施行令修正案時表示，「預定推動自2027年資安揭露對象起適用」。此時適用時間已定為2027年。5月11日的重新立法預告（科學技術資訊通信部公告第2026-569號）中，附則有所變動，新增中小企業基本法上的小型企業考量人力與經營條件、施行日延後2年的內容。1月立法預告時，政策簡報資料曾表示將刪除對小型企業的例外條款。重新立法預告的意見提交期間至6月22日，法令案並附上規管影響分析書與逐條制定修正理由書。最終，去年10月作為「短期課題」提出的揭露擴大將於2027年開始，上市小型企業則要在那之後2年才開始揭露。

綜合對策的發表本身就已延遲。問答中，政府方面的答覆者先說「關於9月底延遲的原因，其實我們一直以5個部會為中心」，接著表示「時間上有些延遲」。

科學技術資訊通信部標榜消除盲點、保障國民知情權

科學技術資訊通信部說明，此次修正將消除揭露制度的盲點、保障國民知情權，同時引導企業將資安視為投資而非成本。副總理Bae Kyung-hoon 20日表示，「資安揭露是保障國民知情權、引導企業自發進行資安投資的重要制度」。他並表示，「期待資安投資更加活絡，國家整體資安水準提升的良性循環結構能夠確立」。

修正內容聚焦於擴大對象。根據重新立法預告文，施行令第8條第1項同時刪除指定並申報資訊安全長（CISO）的條件與營收3000億韓元以上的條件，並將有價證券與KOSDAQ上市法人納入對象。根據科學技術資訊通信部20日的資料，特殊目的收購公司（SPAC）排除在外。以前一年度底為準，資訊通訊網路法上的資訊保護管理體系（ISMS）認證義務對象，新列為同項第4款。第8條第2項刪除，原本附加於公共機關、小型企業、金融業者、電子金融業者的排除條件隨之消失。使用者人數計算基準也從前一年度底前3個月的每日平均，改為前一年度全年的每日平均。

科學技術資訊通信部表示，將為新負有義務的企業發布反映修正內容的「資安揭露指引」並提供諮詢支援，同時並行線上常態諮詢與教育，以及地區巡迴訪問教育。重新立法預告文的制定修正理由中，包含克服近期駭客事故加劇的國民不安、提升國家資安能力的說明。科學技術資訊通信部在1月9日新聞稿中，將修正要旨整理為「刪除上市企業營收標準、納入資訊保護管理體系（ISMS）認證企業及廢除例外條款」，目的則為「引導企業自發進行資安投資及強化保障國民知情權」。同一天，科學技術資訊通信部網路政策室長Choi Woo-hyuk表示，「透過此次制度改善，可以確認比過去更多企業的資安現況」。

緊急檢查中「未發現特殊情況」的KT　兩個月後登上對策簡報

揭露擴大的討論在大型事故發生後加速。科學技術資訊通信部相關人士去年8月11日在政策簡報資料中表示，「以SKT入侵事故為契機，至本週對KT、LGU+等其他電信公司，以及Naver、Kakao、Coupang、優雅兄弟等主要平台業者推動緊急現場檢查，結果未發現特殊情況」。

兩個多月後舉行的綜合對策簡報上，曾是檢查對象的KT所發生的事故成為提問焦點。一名記者問道，「據我了解，最近引發問題的KT毫微型基地台，最終也是因為KT未能全數報廢而發生的問題」。次官Ryu Je-myung針對毫微型基地台回答，「其中一點，回收，回收的問題並不容易」。他也表示，「這次與KT事故相關，小額支付時，目前只用SMS或ARS認證的做法打算取消」。同一場問答中也提到了樂天卡事故。

政府提出的處方是擴大檢查與擴大揭露。政策簡報資料表示，「為消除對駭客攻擊普遍的不安感，將立即推動對公共、金融、通訊等多數國民使用的1600多個IT系統進行大規模資安漏洞檢查」。Shin Jin-chang表示，其中金融業260個系統的檢查將於當月底前完成。揭露義務擴大被納入這套對策，但作為其法源的施行令，是在簡報近一年後的本月20日才在國務會議通過。

同一對策中也納入多項針對事故企業的課題。政府表示將「擴大政府的調查權限，使政府在掌握駭客跡象時，即使沒有申報也能迅速進行現場調查」。ISMS、ISMS-P認證審查將改以現場審查為主，認證企業若發生重大缺失將撤銷認證。內容也包括若因企業資安疏失發生駭客攻擊，將減輕消費者舉證責任負擔，並檢討新設基金，將個資外洩罰款收入用於支援受害者等。強化CEO責任與CISO角色也列為課題。簡報中提到1600多個檢查對象中有主要企業900家與金融機構260家，一名記者則引用公共機關基礎設施228處的數字提問。

揭露企業雖增加　事後查核僅773家中的40家

揭露是否反映實際資安水準，取決於查核。科學技術資訊通信部與韓國網路振興院（KISA）表示，從去年揭露的773家企業（義務666家、自願107家）中，挑選「提供與國民生活密切相關服務的3家電信公司等40家」，到11月底為止進行3個月的事後查核。查核對象約占773家的5%。查核對象為企業在6月30日前揭露的2024年度資安投資與人力等項目。

查核體系是由具備會計、審計專業的揭露查核團檢視揭露內容，再由專家審議委員會進行最終審議。若發現重大錯誤，將要求企業更正，企業須在期限內向電子揭露系統提交更正要求內容與相關事由書。查核對象40家中，包括KT、SK Telecom、LG U+三家電信公司。

施行令修改後，揭露企業將比現在大幅增加。營收3000億韓元門檻以下的全體上市公司，以及公共機關、金融公司、電子金融業者、ISMS認證義務對象將一次納入。但科學技術資訊通信部在20日新聞稿中，並未說明修正後義務對象將有多少家，也未說明事後查核對象與查核人力、預算將增加多少。科學技術資訊通信部每年公布的義務對象企業，2023年為655家，去年義務揭露企業為666家。

揭露制度起初是自願性質。根據科學技術資訊通信部2019年1月「資安揭露制度活化方案」資料，前一年參與揭露的企業為20家。當時政府提出減輕揭露費用負擔、表揚優秀企業、加強宣傳等對策。