LG U+の「情報保護および個人情報保護管理体系（ISMS-P）」の認証更新審査が1年以上にわたり続いている。ISMS認証は通信会社が事業のために義務的に取得しなければならない認証である。既存認証書の有効期間は2025年12月で終了したが、現在まで更新の可否は決まっていない。
韓国インターネット振興院（KISA）は審査が進行中だとしつつも、遅延理由の公開は困難だとする立場である。業界では、昨年浮上したLG U+のハッキング疑惑に対する行政調査と警察捜査が認証審査に影響を及ぼしたとみている。
◇ 7月に更新申請…1年以上にわたり審査中
11日通信業界によると、LG U+のISMS-P認証書の有効期間は2022年12月27日から2025年12月26日までだった。LG U+は7月に更新を申請したが、まだ結果の通知を受けていない。LG U+個人情報保護センターのホームページにも、有効期間が過ぎた既存の認証書が最新資料として公開されている。
ISMSは、企業がハッキングや情報流出に対応する組織と人員、アクセス制御体制、事故対応手順などを備えているかを評価する制度である。ISMS-Pはこれに、個人情報の収集・利用・提供・保管・破棄の全過程を評価する個人情報保護領域を追加した認証である。
LG U+のようなISMS義務対象企業がISMS-Pを取得すると、情報保護部門の認証義務を充足したものと認められる。認証審査業務はKISAが担い、科学技術情報通信部と個人情報保護委員会が制度を共同で所管する。
業界では、LG U+の認証更新が遅れている背景として、ハッキング関連の行政調査と警察捜査の長期化を挙げる。先に、LG U+の内部サーバーアクセス制御システム（APPM）がハッキングされ、サーバー8938台とアカウント4万2256件の情報が流出したとの疑惑が提起されると、個人情報保護委員会は行政調査に着手した。その後、LG U+がハッキングの兆候を把握しながらも適時に申告しなかったとの疑惑まで浮上し、警察捜査へと拡大した。
セキュリティ業界では、ハッキング調査とISMS-P認証審査の点検対象が相当部分で重なるため、調査結果が出る前に認証の可否を判断するのは難しい場合があると説明する。チャン・ハンベ中央大産業保安学科教授は「ハッキング調査の過程で管理体系の問題点が露呈する可能性があるが、調査結果が出る前に認証を更新すると両者の判断が衝突する可能性があり、認証機関にとっても負担になる」と述べた。
KISA関係者は「現在、審査手続きが進行中だ」としつつも「審査が遅れている具体的な理由は答えにくい」と明らかにした。
◇ サービスには当面影響なし…受注の不確実性は負担
認証書の有効期間が過ぎていても、LG U+が直ちに移動通信サービスを中断したり既存契約を解除したりする必要はない。ただし、一部の公共・金融機関や大企業がISMSまたはISMS-Pの認証保有の有無を入札条件や評価項目として活用している点で、審査の長期化が負担となり得る。
現在公開されている認証書には、すでに過去の有効期間が記載されている。これにより、LG U+が入札や企業顧客のセキュリティ評価の過程で、更新審査が進行中である事実と現在の認証状態を別途疎明しなければならない状況が生じ得る。もちろん、更新審査が進行中という理由だけで、すべての事業参加が制限されるわけではない。しかし、結論が遅れるほど、新規事業の受注や既存契約の更新の過程で不確実性が高まる可能性がある。
LG U+が最終的に更新認証を受けられず、別途のISMS認証も確保できなければ、法定の認証義務違反の問題が浮上し得る。ISMS認証義務を履行していない事業者には3000万ウォン以下の過料が科される可能性があり、認証保有が必須条件の新規事業への参加も難しくなり得る。
現在の争点は、移動通信サービスの即時中断の可能性よりも、審査の長期化が招く事業上の不確実性にある。KISAが具体的な遅延理由を明らかにしていないなか、LG U+の認証審査がいつ、どのような結論で終結するのかが注目される。