Q1. セキュリティ投資や人員の採用は義務ですか？

今回の改定は「新しい機器を購入しなさい、人員を採用しなさい」と強制する制度ではなく、企業や機関がすでに行っている情報セキュリティ投資・活動の現状を公開する「情報公開型」の制度です。もちろん、これまでセキュリティ投資やレベルが不十分だった企業は、ソリューションの購入や人員の採用が必要になる場合もあります。 

Q2. 企業の負担はどのように増えますか？

情報セキュリティ開示のための行政・管理上の負担は増えます。企業や機関の内部における情報セキュリティガバナンスと関連資料の取りまとめ → 開示項目の整理 → システムへの入力・提出は、新たに発生する業務となります。  

Q3. 企業にとってのメリットはありますか？

企業は情報セキュリティレベルに対する対外的な信頼度を高め、投資家や取引先に対する企業イメージを向上させることができます。また、内部の情報セキュリティ管理体制の点検・整備を行う契機にもなります。開示は規制であると同時に、企業の信頼を築く「公式な証明資料」になり得ます。

Q4. いつから適用されますか？

施行令の改定手続き完了後、2027年から施行される予定です。具体的な開示スケジュールや作成方法は、ガイドライン等で別途案内される予定です。 

Q5. どこに、どのような方法で開示（公示）しますか？

情報セキュリティ開示は、「情報セキュリティ開示総合ポータル（isds.kisa.or.kr）」にて、定められた様式に従って投資/人員/認証/評価・点検/活動などを提出します。
この制度は、電子公示システム（DART）ではなく、情報セキュリティ開示総合ポータルに毎年6月30日までに提出する方式です。

Q6. 開示しないとどうなりますか？

もし開示を行わなかった場合は、過料（過怠金）を支払わなければなりません。1回目の違反は300万ウォン、2回目は600万ウォン、3回目以降は1,000万ウォンまで科されます。これは「情報保護産業の振興に関する法律」第41条に明記されています。ただし、違反の程度や理由を考慮して、過料を半額まで減額したり、逆に増額したりすることもあります。しかし、どれだけ増額されたとしても、法律で定められた上限額である1,000万ウォンを超えることはありません。過料は科学技術情報通信部長官が科します。

Q7. 情報セキュリティ開示に関する支援策はありますか？

政府は、開示の経験がない中・小企業のために、ガイドラインの提供、教育、コンサルティング支援を並行して行うと明らかにしました。 

まず、開示情報の作成方法を詳しく説明するガイドラインを配布します。そして、開示を行う前にあらかじめチェックが受けられるコンサルティングサービスも提供します。実務担当者向けのカスタマイズされた教育プログラムも運営される予定です。初めて開示を行う企業はどこから手をつければよいか戸惑うことも多いかと思いますが、こうした教育を通じて実践的なノウハウを身につけることができます。