KTグループがコールセンター運営子会社KTisの情報保護水準を昨年、最上位のS等級と評価した一方で、同年にKTisが発見されたセキュリティ脆弱性を実際に是正した比率は半分にも満たなかったことが分かった。脆弱性の改善実績が大幅に悪化したにもかかわらず最高等級を受けたことから、KTグループのセキュリティ評価が子会社の実質的な脆弱性対応能力を適切に反映したのか疑問が提起される。
◇ セキュリティ点検率100%でも脆弱性是正率は46.9%
20日、KTis「2026 ESG報告書」によると、2025年のセキュリティ脆弱性是正率は46.9%だった。2024年の79.1%より32.2%ポイント(P)低下した。セキュリティ脆弱性是正率は、システム点検や模擬ハッキングなどで発見した脆弱性のうち、改善を完了した比率を指す。脆弱性を見つけるだけでなく、発見された問題を実際にどれだけ解消したかを示す指標である。
KTisはKTのコールセンターと一般企業のコンタクトセンター、AIコンタクトセンター（AICC）、通信商品流通、114番号案内などを運営している。相談記録や連絡先、音声・文字情報など多数の顧客情報を処理する事業構造のため、一般企業より高い水準のセキュリティ管理と迅速な脆弱性改善が求められる。
とりわけ金融・公共・医療・製造分野へAICC事業を拡大し、AI・クラウド基盤のサービスを増やすほど、処理する顧客データと外部連携システムも増加する可能性が大きい。
KTis自身も「顧客および役職員の情報保護」をESGの重要課題1位、「情報セキュリティ体制の強化」を2位に選定した。情報保護を中核の経営課題に掲げたが、実際のセキュリティ脆弱性是正率は急落した。会社が強調した情報保護目標と実際の改善実績の間にギャップが生じたということだ。
KTisは同報告書で、KTグループの情報保護水準評価の結果、最上位のS等級を受けたと明らかにした。情報セキュリティ事故と個人情報保護法規違反件数は2023年から2025年までそれぞれ0件だった。役職員の個人情報保護教育の履修率も3年連続で100%で、顧客情報処理システム10件に対する点検率も100%を記録した。しかし、システムをすべて点検したということと、点検過程で発見された脆弱性を実際に解消したということは別問題である。点検率100%は定められたセキュリティ点検をすべて実施したかを示す。一方、脆弱性是正率は点検後に必要な改善作業が適切に行われたかを示す。点検はすべて終えたが、フォローアップを完了した比率は46.9%にとどまった格好だ。
セキュリティ業界関係者は「セキュリティ脆弱性是正率は事故につながり得るリスク要因を事前にどれだけ除去したかを示す予防指標だ」としつつ、「セキュリティ事故0件も最高等級を裏付ける指標として活用できるが、これだけで潜在的なセキュリティリスクまで十分に管理されたと断定するのは難しい。事故件数はすでに発生した侵害の結果を示す後行指標にすぎない」と述べた。
◇ KTis「新規セキュリティ脆弱性の累積影響」… 32.2%P急落の原因は不明確
セキュリティの中核たる予防指標が半分以下に落ちた状況で、KTがKTisにS等級を付与したことへの疑問も呈される。脆弱性是正率が評価項目に含まれていたなら、46.9%という低い実績にもかかわらず最高等級を付与した基準の妥当性が論争になり得る。逆に評価項目に含まれていなかったなら、発見されたセキュリティリスクを実際にどれだけ除去したかを示す中核指標を除外したまま情報保護水準を評価した点で、評価体制の実効性が俎上に載る可能性がある。いずれにしても、KTの評価がKTisの実質的な脆弱性対応能力を適切に反映したのか説明が必要だという指摘である.
これに対してKTisは、セキュリティ脆弱性是正率の低下はセキュリティ対応能力の悪化というより、脆弱性診断と是正率算定の方式による結果だと説明した。項目別の一次診断後に脆弱性を改善する過程で二次履行診断を通じて新規脆弱性が追加で発見され、全体診断件数が累積されたことで是正率が相対的に低下したということだ。KTis関係者は「当該数値だけでシステムの安全性が低下したと見るのは難しい」と述べ、「まだ是正していない項目も別途の計画に従って順次改善している」とした。KTは「グループ社のセキュリティポリシー、情報資産管理、アクセス制御、侵害事故対応体制など技術的・管理的保護措置を総合評価して情報保護水準を診断し、等級を算定する」と説明した。
ただしKTisの説明は、セキュリティ脆弱性是正率が低く算出され得る構造を示すにとどまり、昨年の数値が前年より32.2%ポイント急落した原因までは説明していない。二次履行診断で新規脆弱性が追加される方式は2024年にも同様に適用されたが、2年の間の大きな差を説明しにくいためだ。KTもまた、セキュリティ脆弱性是正率がセキュリティ等級の評価項目かどうかを明確には示さなかった。
KTisが金融・公共・医療など機微な情報を扱うAICC事業を拡大している点で、セキュリティ脆弱性是正率の急落は単なる内部管理指標以上の意味を持つ。外部システムとつながる接点が増えるほど、小さな脆弱性も顧客情報の流出やサービス障害につながる可能性が高まるためだ。最高等級を得た事実に安住するより、発見された脆弱性を迅速に解消する常時対応能力を強化すべきだとの指摘が出ている。