最近、企業の個人情報流出事故が相次ぐなか、11日からは反復的または重大な個人情報侵害事故を起こした企業に対し、全体売上高の最大10%まで過料金を科すことが可能になった。従来より制裁水準が大幅に引き上げられたことで、個人情報保護が最高経営責任者（CEO）と取締役会が直接管理すべき経営リスクとして浮上し、企業の先制的なセキュリティ投資を引き出すとの期待が出ている。
ただし最近の事故の中には、高度なハッキング手法よりもアカウント・アクセス権限・認証情報の管理といった基本的なセキュリティ統制が適切に機能せず、被害が拡大した事例も少なくない。これを受け、処罰の強化とあわせて企業の人員・予算・セキュリティ運用体制を改善すべきだとの指摘が出ている。
個人情報保護委員会によると、3月に改正された個人情報保護法と、同法で委任した細部事項を具体化した施行令がこの日から施行される。
改正法は、故意・重大な過失で3年以内に違反行為を反復するか、故意・重大な過失により1,000万人以上の大規模被害を発生させた場合、全体売上高の最大10%まで過料金を科すことができるようにした。個人情報委の是正命令を履行せずに個人情報流出事故が発生した場合も適用対象である。
従来は個人情報保護法違反時に全体売上高の最大3%まで過料金を科すことができたが、今回の改正で重大・反復侵害行為に対する上限が10%まで引き上げられた。欧州連合（EU）一般データ保護規則（GDPR）の重大な違反に対する過料金上限である全世界年間売上高の4%よりも高い水準である。
◇「CEOが直接管理すべきリスクと認識」…セキュリティ投資拡大の効果に期待
専門家は、全体売上高の最大10%に達する過料金が企業のセキュリティ投資を誘引する効果をもたらすとみている。
ヨム・フンニョル順天郷大情報保護学科名誉教授は「（今回の施行により）個人情報流出リスクをセキュリティ部門だけの問題ではなく、CEOと取締役会が直接管理すべき中核的な経営リスクとして認識させることができる」と述べ、「過料金が大きくなるほど、暗号化や多要素認証、異常行為の検知、専門人材の確保など事前のセキュリティ投資の経済的妥当性も高まる」と語った。
当初、制裁水準が高まることで企業が事故を隠蔽したり報告を遅らせたりする副作用が生じうるとの懸念も提起されてきた。韓国政府は今回の施行令に、これを緩和するための仕組みも併せて用意した。
個人情報流出の事実を法定期限内に報告・通知せず、被害拡散防止措置もしなかった場合、過料金を最大30%加重する。逆に、事故対応体制を事前に構築し、事故を早期に検知して迅速に報告・通知したり、被害拡大を防ぐなど積極的に対応した場合には、過料金を最大40%減軽できるようにした。
◇相次ぐ個人情報流出…「基本セキュリティ」から綻び
一方、こうした制裁強化とは別に、最近の企業現場では個人情報の流出・露出事故が相次いでいる。6月にTVINGで大規模な個人情報流出事故が発生したのに続き、先月末から29CM、カンナムオンニ、ファヘ、ウィバースなどでも個人情報が流出したり外部に露出する事故が続いた。
事故原因は企業ごとに異なり、一部の事案はなお当局の調査が進行中である。ただし原因調査が終わった事例では、新たな高度攻撃手法そのものよりも、既存のセキュリティ体制を適切に運用できなかった問題が被害を拡大させた状況が確認された。
科学技術情報通信部の民官合同調査団によると、TVINGは開発・運用環境のアクセスキーをソースコードに暗号化せず保存したり、社内メッセンジャーを通じて共有していた。業務に必要な最小範囲にアクセス権限を制限せず、すべての開発者が全開発プロジェクトにアクセスできるようにしていた事実も明らかになった。2024年の模擬ハッキングの過程で、アクセスキーがソースコードに露出する脆弱性をすでに確認していたが、これを改善しなかったことが調査で判明した。
ヨム教授は「デジタル・クラウド基盤サービスが拡大するにつれ、攻撃の接点とサプライチェーンリスクは大きくなったが、一部企業のセキュリティ人員とシステム、アクセス権限および受託業者のセキュリティ管理水準はそれに追いついていない」と述べ、「流出はハッキングだけでなく、内部者の誤用・乱用、業務上のミスや設定エラーからも発生する」と語った。
◇「過料金は最後の手段」…事故前の予防体制を強化すべきだ
専門家は、個人情報流出を実質的に減らすには、事故後に過料金を科すだけにとどまらず、事故が発生する前に企業の予防体制を強化すべきだと強調する。
キム・ミョンジュソウル女子大情報保護学科教授は、必要以上の個人情報を収集・保有しない「データ最小化」を基本原則に挙げた。流出される情報自体を減らし、事故が発生しても被害規模を抑えるべきだという考えである。これに最小権限の原則と多要素認証、重要情報の暗号化、継続的な脆弱性管理、外注・協力会社を含むサプライチェーン管理と定期的な侵害事故対応訓練などを並行すべきだと説明した。
キム教授は「事故発生の可能性を最大限に下げ、事故が発生したら迅速に検知して被害を最小化し、その事故から学んで同じ失敗が繰り返されないようにすることが重要だ」と述べ、「結局、過料金は最後の手段であり、究極の目標は、企業が個人情報保護をコストではなく常時の経営リスク管理として受け止めるようにすることだ」と語った。