改正個人情報保護法が9月11日に施行され、反復的または重大な法令違反を起こした企業に対しては、売上高の最大10％の課徴金を科すことが可能になる。昨年相次いでハッキング被害を受けた通信大手3社にとっては、情報セキュリティが単なるIT運用ではなく、経営リスクとして問われる局面に入る。

業界および個人情報保護委員会によると、改正法では、個人情報保護法に反復的または重大に違反した企業に対する制裁が強化される。過去3年の間に故意または重大な過失による違反を繰り返した場合や、故意または重大な過失によって1000万人以上に被害を生じさせた場合は、強化された課徴金の対象となる。是正命令に従わず、個人情報漏えい事故が発生したケースも制裁対象に含まれる。

昨年ハッキング事故を経験した通信業界にとって、この制度変更の影響は小さくない。実際の課徴金額は法適用の要件や算定基準によって変わるものの、通信各社の売上規模を踏まえれば、制裁額が兆ウォン規模に達する可能性もあるためだ。

業界では、情報セキュリティ事故は取締役会や最高経営責任者が直接管理すべき経営課題に変わったとの見方が強まっている。改正法は、事業主または代表者が個人情報の取り扱いと保護に関する最終責任を負うことを明記したほか、個人情報保護責任者（CPO）の選任手続きも強化した。ハッキング事故が巨額の課徴金や経営陣の責任に直結しかねない枠組みになった形だ。

◆通信大手3社、セキュリティ投資を拡大

こうしたなか、通信大手3社は情報セキュリティ投資を増やしている。韓国インターネット振興院（KISA）の情報セキュリティ公示によると、SK Telecom、SK Broadband、KT、LG U+の2025年の情報セキュリティ投資額は合計3675億ウォンで、前年の3012億ウォンから約22％増えた。SK Broadbandを除く通信大手3社の投資額は計3353億ウォンとなる。

企業別ではKTが1276億ウォンで最も多く、SK Telecomが1111億ウォン、LG U+が966億ウォンで続いた。前年比の増加率はSK Telecomが70.3％で最大。LG U+は16.7％、KTは約2％増だった。IT投資全体に占める情報セキュリティ投資の比率は、LG U+が7.7％で最も高く、SK Telecomが7.2％、KTが6.3％だった。

中長期の投資計画はさらに大きい。SK Telecomは今後5年間で7000億ウォンを情報セキュリティ分野に投じる方針で、ゼロトラスト体制の構築や専門人材の2倍増、レッドチームの新設を進める。KTは情報セキュリティとIT革新に3年間で4兆ウォンを投資する計画だ。CPOを別途選任し、個人情報保護諮問委員会を立ち上げるなど、ガバナンス強化も進めている。

LG U+もゼロトラストの適用拡大に加え、AIベースのセキュリティ監視や、ボイスフィッシング・スミッシングへの対応体制を強化している。さらに、マネージド検知・対応（MDR）を手がけるPAGO Networksを最近買収するなど、自社のセキュリティ能力の底上げを急ぐ。

◆投資額だけでは不十分、基本管理の徹底が課題

もっとも、投資額の大きさがそのまま事故防止能力に結び付くわけではない。業界関係者は「最近の通信会社のハッキング事故をみると、基本的な管理の不備が繰り返されていた」と指摘し、「重要なのは投資額そのものより、管理体制と組織全体のセキュリティ意識だ」と話す。

SK Telecomでは、USIM情報流出事故を巡り、国内外のインターネット網から内部管理網のサーバーに制限なくアクセスできる状態だったことが明らかになった。侵入検知システムに表示された異常ログを十分に確認しておらず、セキュリティパッチの適用も不十分だったという。

KTの不正な少額決済事故でも、認証とアクセス制御の不備が被害拡大につながった。KTはフェムトセル認証書の有効期間を10年に設定し、接続元IPアドレスも制限していなかった。無許可機器に使われたセルIDの管理や、異常接続を検知する仕組みも整っていなかったとされる。

LG U+については、当局の調査着手前にオペレーティングシステムを再インストールし、ハッキングが疑われるサーバーを廃棄した疑いが持たれている。この件を巡っては、警察が公務執行妨害容疑で捜査している。

通信会社の情報セキュリティ競争力を評価するうえでは、投資総額だけでなく、資金の使い道を見極める必要があるとの指摘もある。老朽化したオペレーティングシステムやサーバーの更新率、セキュリティパッチの適用速度、長期間使われていないシステムの管理記録、アカウントや認証書の管理、ログの保管・点検範囲、異常兆候を検知した時期などを細かく見るべきだという。

パク・チュンシク元亜洲大学サイバーセキュリティ学科教授は、「大企業と中堅・中小企業では規模や条件が異なるだけに、情報セキュリティ公示の項目も見直す必要がある」と指摘。「大企業にはより具体的な情報開示を求める一方で、中小企業には過度な行政負担を与えない制度設計が必要だ」と述べた。

そのうえで、「取締役会へのセキュリティ報告の実績や投資計画の履行状況など、企業が適切にセキュリティを管理していることを示す指標を、政府と専門家が共同で発掘すべきだ」と提言した。さらに、「情報セキュリティ投資を適切に行った企業には税制優遇や制度的インセンティブを設け、自発的なセキュリティ強化を促す必要がある」と強調した。