全面强化企业信息保护责任、涵盖网络侵害事故预防到事后应对与处罚的修订版《信息通信网利用促进及信息保护等相关法律》(简称《信息通信网法》)及其施行令将于10月1日起施行。根据这一法令,对反复疏于安全管理的企业,将伴随罚款等严厉的经济制裁。
 [코리안투데이] 科学技术信息通信部办公楼外景 © 장형임 기자 |
科学技术信息通信部(副总理兼科学技术信息通信部长官裴庆勋)于9月30日表示,修订版《信息通信网法》及该法施行令将于10月1日起正式施行。其核心在于切实提高企业的信息保护责任意识、完善事故预防体系,同时建立起可对反复疏于安全管理的企业进行处罚的制度基础。
此次施行旨在以法律和施行令的形式,支撑以去年接连发生的大型侵害事故为契机而公布的《跨部门信息保护综合对策》。此前,总统曾在首席辅佐官会议等场合指示,要《做好准备,对反复发生安全事故的企业采取包括惩罚性罚款在内的有力应对措施》,并《积极研究开展先发性调查,努力推进旨在强化企业安全能力的制度改善》。据此,今年3月修订的《信息通信网法》着力强化了从侵害事故预防到应对的全过程,而此次施行令则对法律授权事项及施行所需的具体内容加以明确。
首先,企业的信息保护治理得到强化。信息保护最高负责人(CISO)的地位由原先的职员晋升为高管,中坚企业等须将CISO指定为高管。不过,考虑到企业规模和人力状况,对中型企业设有例外规定,允许其按现行做法指定信息保护相关部门负责人。对于新须将CISO指定为高管的企业,为减轻负担,给予6个月的宽限期。
此外,负有CISO申报义务的企业须强制设立并运营信息保护委员会。该委员会以CISO为委员长,由IT开发、个人信息保护、人事、财务等主要部门负责人组成,负责审议信息保护预算、人力保障等需全公司协商的事项。委员长须向最高经营者(CEO)报告审议结果,重要事项还须向董事会报告,从而使信息保护不再是部分部门的工作,而被作为经营层面的课题加以对待。
信息保护管理体系(ISMS)认证制度的实效性也随之提高。针对一旦发生侵害事故将对国民生活产生重大影响的运营商,新引入《强化认证》。强化认证适用于认证义务者中的以下对象:上一年度营业额达1万亿韩元以上的电信公司等主要信息通信服务提供者及集约信息通信设施运营商;上一年度营业额达3万亿韩元以上的信息通信服务提供者;以及近3年内接受过官民联合调查团调查或被处以罚款处分的运营商。此外,以往可选择进行的认证审查将强化为书面审查与现场审查并行的方式,对强化认证对象及发生事故的企业,还将实施漏洞检查等技术审查,以确保开展以现场为中心的切实审查。
侵害事故的调查与处罚也将进一步加强。在掌握侵害事故发生迹象的情况下,负责审议政府快速调查必要性的侵害事故调查审议委员会将作为科学技术信息通信部下属机构正式运营。该委员会由包括委员长在内的民间、公共领域共15名委员组成,民间委员任期为2年。会议在委员长认为有必要或科学技术信息通信部长官提出要求时召集。在处罚方面,对不履行政府整改命令或资料提交要求的运营商,将按未履行天数,每日处以相当于日均营业额0.02%的履行强制金。此外,对因故意或重大过失反复引发侵害事故的运营商,将根据事故的严重程度,在相关营业额3%的范围内处以罚款,追究其严厉的经济责任。
在通信、在线服务使用日益日常化的背景下,个人信息泄露和服务瘫痪等侵害事故的损失一直由用户承受,此次法令施行是一项侧重于保护用户的举措。其意义在于,通过引导企业将安全视为《义务》而非《成本》,为国民更安全地使用数字服务奠定了基础。
裴庆勋副总理兼科学技术信息通信部长官表示:《随着此次《信息通信网法》及施行令的施行,为进一步强化企业的安全意识和责任感奠定了制度基础。》他还表示:《期待企业将安全视为经营的必备要素而非单纯的成本,并进而积极加大投资;政府也将为营造国民能够安心使用的数字环境,积极支持该制度的落地。》
相关咨询可拨打科学技术信息通信部信息保护网络政策室网络侵害应对课电话(044-202-6460、044-202-6468)。
Leave a Reply