要約

  • 韓国政府は10月20日、情報セキュリティー開示の対象を広げる施行令改正を閣議決定した。公共機関などに設けられていた除外規定は2027年1月1日からなくなる。
  • KOSPIとKOSDAQの上場法人は売上高にかかわらず対象となる。ただし特別目的買収会社は除外され、小企業への適用は2029年1月1日まで猶予される。

取引先にセキュリティー対策を尋ねるのは簡単だ。自分たちの担当者数と支出を見せるとなると話が変わる。韓国政府は後者を公共機関にも求める。科学技術情報通信部の10月20日の発表によると、閣議決定された施行令改正は公共機関、金融会社、電子金融事業者に対する従来の開示義務の除外を撤廃する。ISMS認証が義務づけられている主体も新たに加わる。

上場企業の線引きも変わる。従来の売上高3000億ウォン以上という条件を削除し、KOSPIとKOSDAQの上場法人全体を対象とする。原文が明記する例外は特別目的買収会社だ。施行日は2027年1月1日で、小企業基本法の施行令に該当する小企業には2029年1月1日まで２年間の猶予がある。

公表するのは情報セキュリティーへの投資、人員、認証、評価、点検、取り組みの状況である。公共のデジタルサービスを使う人にとって、「安全を重視する」という標語より、人と予算の記録のほうが確かめやすい。守るべきサービスがあるなら、誰がその仕事をし、どんな資源が与えられているかが問われる。

利用者数による判定方法も見直す。前年末の直近３カ月の日平均利用者数から、前年１年間の日平均へ変更する。季節によって利用が大きく動く組織には、この暦の取り方が効く。省は改訂版の指針、相談、オンライン窓口、地域での研修を用意するとしている。

省の資料に、新たに対象となる組織の推計数や増える投資額は示されていない。最初の開示で実際の広がりが見える。すでに決まったのは、公共機関という肩書や旧売上基準の下にいたことを理由に、対策の帳簿を見せずに済ませる時代が終わるということだ。

出典