[비즈한국] 大規模な個人情報流出やハッキング事故、流出疑惑が相次いだ通信大手3社のセキュリティに対する負担が一段と重くなった。今月11日から、反復的または重大な個人情報侵害に対し、全売上高の最大10％まで課徴金を課すことができる改正個人情報保護法が施行されたためだ。各社は情報保護への投資や人員を増やしているが、事故後の責任体制を立て直す手法には違いが見られる。
CISOとCPOを分離したKT・SKT…LGユープラスは兼務を維持
15日の通信業界によると、KTとSKテレコムは相次ぐハッキングや個人情報流出事故以降、セキュリティ組織と管理体制を見直した。一方、LGユープラスはセキュリティ投資を拡大しながらも、情報保護最高責任者（CISO）と個人情報保護責任者（CPO）を同一人物が担う従来の体制を維持している。
KTはCISOに金融決済院出身の専門家を迎え入れたほか、今年4月にはCPOとして科学技術情報通信部の情報セキュリティプログラムマネージャー（PM）であるキム・チャンオ氏を任命し、両職務を分離した。その後、CISOを中心とした情報保護ガバナンスを強化し、実際の攻撃者の視点から会社の防御体制を点検する専従組織「レッドチーム」も新設した。
SKテレコムは、セキュリティ責任体制の抜本的な改編を行った。CISO組織をCEO直属に格上げし、CPOを別途設けることで両役職を分離した。CPOがITやインフラ領域を含む会社全体の個人情報資産を管理・監督できるよう、権限も拡大した。情報保護認証の範囲も、携帯電話顧客管理システムおよび主要サービスへと拡大している。
LGユープラスは、ホン・ボムシク代表の就任以降、セキュリティ専門企業のパゴネットワークスを買収し、科学技術情報通信部が推進する「セキュリティ脆弱性常時申告・措置・公開（CVD・VDP）モデル事業」に参加するなど、セキュリティリスクを事前に発見して対応する体制を拡大している。ただ、現在は情報セキュリティセンター長がCISOとCPOを兼務しており、最近のハッキング疑惑以降も両職務を分離する計画はないことが分かった。
CISOとCPOを同一人物が兼務したり、CPOが他の業務を併任したりすること自体が違法ではない。両職を分離したからといって個人情報の流出を完全に防げると断定することも難しい。ただし、CISOが侵害事故への対応や情報保護全般を担うのに対し、CPOは個人情報の収集・利用から保管・廃棄までの全過程を総括する。改正個人情報保護法は、CPOの権限と代表者の最終責任をより明確にした。
改正法は、CPOが個人情報保護業務を独立して遂行できるよう権限と地位を保障し、必要な人員と予算を支援することも定めている。CISOとCPOが各々の役割を実質的に遂行できるだけの権限、人員、予算を備えているかどうかが重要である。兼務か否かに関わらず、実際の個人情報管理・監督体制がどのように運営されているかが肝となる。
セキュリティ投資・人員の拡充…後続措置は進行中
通信大手3社は組織整備と並行して、情報保護への投資も進めている。韓国インターネット振興院（KISA）の情報保護公表によると、昨年の情報保護投資額はKTが1276億ウォン、LGユープラスが1260億ウォン、SKテレコムが1111億ウォンと集計された。ただし、事業規模や情報システム構成、保護すべき資産の範囲が異なるため、投資額の多寡だけでセキュリティ能力を単純比較することは難しい。
専従人員の拡充も進んでいる。SKテレコムは情報保護専従人員を前年比56％増やした。KTは全体の情報保護専従人員317名のうち半分以上を内部のセキュリティ要員として配置しており、さらなる人員確保にも乗り出している。先月にはセキュリティ審査の経験者採用を行い、今月はセキュリティアーキテクトの経験者を募集している。
投資拡大とは別に課題も残っている。SKテレコムは、リアルタイム監視・遮断のためのEDR（エンドポイントでの検出と対応）適用拡大や、情報保護および個人情報保護管理体制（ISMS-P）認証範囲の拡大など、一部の措置を現在進行中だ。KTも今年7月、個人情報保護委員会からフェムトセルなど通信設備全般の脆弱性を点検し、CPOの実質的な役割遂行を含む再発防止対策を3ヶ月以内に策定・報告せよとの是正命令を受けた。
LGユープラスについても、昨年の個人情報流出疑惑に関する調査着手前に該当サーバーが廃棄された件に関連し、個人情報保護委員会が証拠隠滅の可能性があると見て捜査機関に捜査を依頼している。これは捜査を通じて事実関係と責任を確認すべき事案であり、証拠隠滅が確定したわけではない。
反復事故時は「兆単位」の課徴金、果たして可能か
通信会社がセキュリティ体制の強化を急ぐ背景には、課徴金負担の大幅な引き上げがある。今月11日から改正個人情報保護法とその施行令・告示が施行され、反復的または重大な個人情報侵害に対しては、全売上高の最大10％まで課徴金を課すことができるようになった。
特例の適用対象は、故意または重大な過失により最近3年間に違反行為を繰り返した場合、故意または重大な過失により1000万人以上の被害を引き起こした場合、是正命令に従わず個人情報流出などの事故が発生した場合などだ。単に事故が発生したり被害規模が大きいという理由だけで、直ちに最大10％が適用されるわけではない。移動体通信事業者などに対するISMS-P認証の義務化は、来年7月から施行される予定だ。
負担額の目安として昨年の連結売上高の10％を単純計算すると、KTは約2兆8200億ウォン、SKテレコムは約1兆7100億ウォン、LGユープラスは約1兆5500億ウォンに相当する。ただし、これはあくまで売上高の10％を単純算出した数値であり、実際の課徴金は法令違反の重大性や期間・回数、被害規模、調査への協力姿勢や再発防止に向けた努力などを反映して算定される。それでも、特例要件に該当する事故が発生した場合、通信会社が負うべき財務的リスクは以前よりも大幅に拡大した。
ただし、強化された課徴金の特例が実際に適用されるまでのハードルは高いという評価もある。通信会社のように情報保護認証を受け、大規模なセキュリティ投資を継続している大企業の場合、事故の発生事実のみで「故意・重過失」を認定するのは困難だというのが業界の見方だ。
業界関係者は「『故意・重過失』は、個人情報流出の可能性を知りながら必要な措置を講じないなど、かなり例外的な状況を前提としている」とし、「通信会社のようにセキュリティ認証を受け、継続的に投資を行ってきた企業に実際に適用される可能性は高くない。事故調査の結果、実質的に何の備えもしていなかったという点が確認された場合などを狙った懲罰的性格が強い」と語った。