最初の変化は、情報セキュリティ開示義務対象の全面的な拡大です。

科学技術情報通信部は、1月9日に「情報保護産業の振興に関する法律施行令の一部改正案」を立法予告し、情報セキュリティ開示義務対象事業者の範囲拡大および利用者数算出基準を変更（案第8条第1項）すると発表しました。
従来は、CISO指定・申告、および売上高3,000億ウォン以上の企業のみに開示義務がありました。今回の改正案では、この内容を削除し、有価証券市場およびコスダック（KOSDAQ）市場の上場法人へと義務対象範囲を拡大（第8条第1項第2号改正）しました。利用者数の算出基準も、前年度末の直近3ヶ月平均から前年度の年間平均に改正（第8条第1項第3号改正）しました。さらに、前年度末基準で情報通信網法上の「情報保護管理体系（ISMS）」認証義務企業を、情報セキュリティ開示制度の義務対象者に含める（第8条第1項第4号新設）こととしました。 

これまでは、極めて規模の大きい企業（売上高3,000億ウォン以上など）だけにサイバーセキュリティにどれだけ投資し努力しているかを公開する義務がありましたが、その範囲が拡大されたのです。 公的機関、金融会社、小企業の例外条項も大半が削除されます。 

政府は2027年の適用を目標に、後続プロセスを進めています。2027年には、すべての対象上場企業が「セキュリティ成績表」を公開しなければならない状況になります。 

この変化の意味は、単に「対象が増えた」ということにとどまりません。SKテレコム、KT、クーパン（Coupang）のインシデントを見ても、「大企業だから安全だろう」という信頼は粉々に砕け散りました。投資家や顧客は、今や「この企業のセキュリティ組織は適切に備わっているか？」、「今年セキュリティにどれだけ投資したか？」、「事故が発生した際にどのように対応したか？」を確認しようとしています。セキュリティが財務諸表のように公開情報となる時代が到来したのです。

さらに重要な変化は、開示の質です。 

科学技術情報通信部は、開示制度の実効性を高めるため、作成基準と様式の改定を予告しました。単に「セキュリティにいくら投資した」という内容だけを記載するわけではありません。これからは、極めて具体的なセキュリティ活動をまとめる必要があります。  

自社が保有するコンピュータとサーバーが何台あり、正確に把握・管理できているかを確認することは基本です。セキュリティのためにどのような内部規則を策定し運用しているかを開示しなければなりません。万が一ハッキングが発生した場合、どのように対処するのか具体的な計画も策定する必要があります。企業の重要事項を決定する取締役会が、セキュリティ問題を自ら直接管理しているかもチェック項目となります。これからの企業は「当社はセキュリティをしっかり行っています」と口先だけで言うのではなく、証拠を数字で示さなければなりません。 

これは、開示が「うまくできている」というメッセージを飾るだけの場ではなく、企業間で比較可能なデータへと生まれ変わることを意味します。 

今後は、「当社はセキュリティ投資が前年比30%増加、模擬ハッキングを4回実施、事故0件を維持」という具体的な数字が、投資家に対する強力な信頼のシグナルになります。反対に、準備のできていない企業は、開示するのを躊躇するようなお粗末な数値を公開せざるを得なくなり、投資家からの信頼低下につながります。

👉 関連リンク
https://www.moleg.go.kr/lawinfo/makingInfo.mo?mid=a10104010000&lawSeq=85168&lawCd=0&lawType=TYPE5&pageCnt=10&currentPage=1&keyField=lmNm&keyWord=%EC%A0%95%EB%B3%B4%EB%B3%B4%ED%98%B8&stYdFmt=&edYdFmt=&lsClsCd=&cptOfiOrgCd=