La loi révisée sur la promotion de l’utilisation du réseau d’information et de communication et la protection de l’information (loi sur le réseau d’information et de communication) ainsi que son décret d’application, qui renforcent sur tous les plans la responsabilité des entreprises en matière de protection de l’information — de la prévention des cyberincidents à la réponse ultérieure et aux sanctions —, entrent en vigueur le 1er octobre. En vertu de ces textes, les entreprises qui négligent de façon répétée leur sécurité s’exposeront à des sanctions économiques sévères, dont des amendes administratives.
 [코리안투데이] Vue d’ensemble du siège du ministère des Sciences et des TIC © 장형임 기자 |
Le ministère des Sciences et des TIC (vice-Premier ministre et ministre des Sciences et des TIC, Bae Kyung-hoon) a annoncé le 30 septembre que la loi révisée sur le réseau d’information et de communication et son décret d’application entreraient pleinement en vigueur le 1er octobre. L’essentiel est de renforcer la responsabilité effective des entreprises en matière de protection de l’information et de perfectionner les dispositifs de prévention des incidents, tout en établissant un cadre institutionnel permettant de sanctionner les entreprises qui négligent leur sécurité de manière répétée.
Cette mise en application vise à traduire dans la loi et le décret le « plan global interministériel de protection de l’information », annoncé à la suite des incidents de grande ampleur survenus successivement l’an dernier. Auparavant, le président avait donné pour instruction, notamment lors de réunions avec ses principaux conseillers, de « se préparer à une réponse ferme, incluant des amendes punitives, à l’égard des entreprises qui répètent les incidents de sécurité » et d’« examiner activement la possibilité d’enquêtes préventives et de s’employer à améliorer les dispositifs destinés à renforcer les capacités de sécurité des entreprises ». En conséquence, la loi sur le réseau d’information et de communication, révisée en mars dernier, s’est attachée à renforcer l’ensemble du processus, de la prévention à la réponse aux incidents, tandis que le présent décret précise les points délégués par la loi ainsi que les modalités détaillées nécessaires à son application.
Tout d’abord, la gouvernance de la protection de l’information au sein des entreprises est renforcée. Le statut du responsable de la sécurité de l’information (CISO) passe de celui de simple cadre ou salarié à celui de dirigeant : les entreprises de taille intermédiaire, notamment, devront désigner leur CISO parmi leurs dirigeants. Toutefois, compte tenu de la taille des entreprises et de leurs ressources humaines, une exception est prévue pour les moyennes entreprises, qui pourront continuer à désigner, comme actuellement, le responsable d’un service lié à la protection de l’information. Les entreprises nouvellement tenues de désigner un CISO parmi leurs dirigeants bénéficient d’un délai de grâce de six mois afin d’alléger leur charge.
En outre, les entreprises soumises à l’obligation de déclaration de leur CISO devront obligatoirement constituer et faire fonctionner un comité de protection de l’information. Présidé par le CISO et composé des responsables des principaux services — développement informatique, protection des données personnelles, ressources humaines, finances, etc. —, ce comité délibère sur les questions nécessitant une concertation à l’échelle de l’entreprise, telles que la sécurisation du budget et des effectifs dédiés à la protection de l’information. Le président du comité rend compte des résultats de ces délibérations au directeur général (CEO) et doit également soumettre les points importants au conseil d’administration, de sorte que la protection de l’information ne soit plus l’affaire de quelques services mais une question relevant de la direction de l’entreprise.
L’efficacité du système de certification de la gestion de la sécurité de l’information (ISMS) est également accrue. Une « certification renforcée » est nouvellement instaurée pour les opérateurs dont un incident aurait de fortes répercussions sur la vie des citoyens. Cette certification renforcée s’applique, parmi les entités soumises à l’obligation de certification, aux ▴ principaux fournisseurs de services d’information et de communication tels que les opérateurs de télécommunications et les exploitants d’installations d’hébergement de données réalisant un chiffre d’affaires d’au moins 1 000 milliards de wons l’année précédente, ▴ fournisseurs de services d’information et de communication réalisant un chiffre d’affaires d’au moins 3 000 milliards de wons l’année précédente, et ▴ opérateurs ayant fait l’objet, au cours des trois dernières années, d’une enquête d’une équipe d’investigation conjointe public-privé ou d’une mesure d’amende administrative. Par ailleurs, l’examen de certification, auparavant mené de façon facultative, est renforcé en combinant examen sur pièces et examen sur site ; pour les entités visées par la certification renforcée et les entreprises victimes d’un incident, un examen technique, comprenant notamment la vérification des vulnérabilités, est réalisé, afin que l’évaluation soit effective et centrée sur le terrain.
Les enquêtes et les sanctions relatives aux incidents sont elles aussi renforcées. Lorsque des indices d’un incident sont réunis, un comité d’examen des enquêtes sur les incidents, chargé de délibérer sur la nécessité d’une enquête rapide des pouvoirs publics, est officiellement mis en place auprès du ministère des Sciences et des TIC. Ce comité se compose de quinze membres issus des secteurs privé et public, président inclus, le mandat des membres du secteur privé étant de deux ans. Il se réunit lorsque le président le juge nécessaire ou à la demande du ministre des Sciences et des TIC. Sur le plan des sanctions, les opérateurs qui n’exécutent pas un ordre de mise en conformité ou une demande de transmission de documents émanant des pouvoirs publics se voient infliger, pour chaque jour de non-exécution, une astreinte équivalant à 0,02 % de leur chiffre d’affaires journalier moyen. De plus, les opérateurs qui provoquent des incidents à répétition par faute intentionnelle ou par négligence grave peuvent se voir infliger, selon la gravité de l’incident, une amende administrative pouvant atteindre 3 % du chiffre d’affaires concerné, engageant ainsi lourdement leur responsabilité économique.
L’entrée en vigueur de ces textes est une mesure qui privilégie la protection des utilisateurs, lesquels, alors que l’usage des services de télécommunications et en ligne s’est généralisé, subissaient de plein fouet les préjudices liés aux incidents, tels que la fuite de données personnelles et la paralysie des services. En incitant les entreprises à considérer la sécurité non comme un « coût » mais comme une « obligation », elle a le mérite de poser les bases d’une utilisation plus sûre des services numériques par les citoyens.
Le vice-Premier ministre et ministre des Sciences et des TIC, Bae Kyung-hoon, a déclaré : « L’entrée en vigueur de cette loi sur le réseau d’information et de communication et de son décret d’application pose les bases institutionnelles permettant de renforcer encore la conscience de la sécurité et le sens des responsabilités des entreprises. » Il a ajouté : « J’espère que les entreprises percevront la sécurité non comme une simple dépense mais comme un élément essentiel de leur gestion et qu’elles y consacreront des investissements résolus ; de son côté, le gouvernement soutiendra activement la bonne mise en place de ce dispositif afin de créer un environnement numérique où les citoyens pourront naviguer en toute sérénité. »
Pour toute question, s’adresser à la division de réponse aux cyberincidents du bureau des politiques de sécurité de l’information et des réseaux du ministère des Sciences et des TIC (044-202-6460, 044-202-6468).
Leave a Reply