Eksklusif
Analisis Pengungkapan 8 Perusahaan TIK: 3 Perusahaan Telekomunikasi serta Naver dan Kakao Belanjakan Kurang dari 1% Pendapatan untuk 'Perlindungan Informasi'

[비즈한국] Masalah kerentanan keamanan di seluruh industri dalam negeri terungkap dengan jelas seiring dengan rentetan insiden peretasan yang menimpa perusahaan-perusahaan baru-baru ini, termasuk insiden kebocoran informasi di SK Telecom017670. Hanya dalam tahun ini saja, GS Retail007070, JobKorea, SK Telecom, hingga CJ OliveNetworks telah mengalami insiden kebocoran data pribadi berskala besar. Dinilai bahwa risiko yang dihadapi perusahaan kini semakin beragam seiring dengan berevolusinya metode serangan, mulai dari cloud, perangkat seluler, dan ransomware, hingga peretasan HSS (Home Subscriber Server) milik SK Telecom.

Perusahaan yang menangani data pribadi yang luas, data sensitif, serta informasi yang terkait langsung dengan infrastruktur nasional dituntut untuk memiliki tingkat tanggung jawab yang lebih tinggi. Hal ini dikarenakan celah dalam sistem keamanan perusahaan-perusahaan tersebut dapat memicu risiko bagi masyarakat secara luas. Kami telah menganalisis data pengungkapan wajib perlindungan informasi dari perusahaan TIK utama, termasuk tiga perusahaan telekomunikasi besar, Naver035420, Kakao, dan tiga perusahaan jaringan, untuk meninjau status investasi keamanan informasi dan strategi penanggulangan mereka.

Risiko Peretasan ‘Selalu Ada’… Berapa Banyak yang Dibelanjakan Industri TIK untuk Perlindungan Informasi?

Di tengah sorotan terhadap kemampuan tanggap keamanan siber sektor swasta menyusul rentetan insiden kebocoran data, terungkap bahwa perusahaan domestik hanya mengalokasikan sekitar 6% dari total investasi teknologi informasi (TI) untuk perlindungan informasi. Selama tiga tahun sejak diberlakukannya pengungkapan wajib perlindungan informasi, rata-rata rasio investasi perlindungan informasi terhadap investasi TI perusahaan tetap berada di kisaran 6,1%. Berdasarkan analisis data status perlindungan informasi yang diungkapkan oleh 8 perusahaan TIK utama kepada Badan Internet & Keamanan Korea (KISA), NHN Cloud (7,1%), LG Uplus032640 (6,6%), dan KT030200 (6,4%) memiliki rasio investasi perlindungan informasi yang lebih tinggi dari rata-rata domestik. Diikuti oleh Naver Cloud (5,7%), KT Cloud (5,2%), SK Telecom (4,1%·SK Broadband 4,6%), Kakao (3,9%), dan Naver (3,7%) secara berurutan.

Indikator ini menunjukkan seberapa besar prioritas yang diberikan perusahaan terhadap keamanan. Semakin besar infrastruktur digital, semakin banyak pula titik kerentanan keamanan yang muncul. Oleh karena itu, investasi keamanan harus meningkat sebanding dengan skala atau kompleksitas sistem TI agar risiko dapat dikendalikan secara efektif. Jika dihitung berdasarkan rata-rata, angka ini hanya setengah dari tingkat di Amerika Serikat. Menurut laporan tahun lalu dari IANS Research, sebuah lembaga konsultan keamanan siber AS, rasio investasi perlindungan informasi perusahaan AS rata-rata mencapai 13,2%, yang terus meningkat dari 8,6% pada tahun 2020.

Berdasarkan pengungkapan tahun lalu, pada tahun 2023, rasio investasi perlindungan informasi terhadap pendapatan bagi semua perusahaan yang diteliti—di luar perusahaan cloud—hanya berada di angka 0%. Untuk tiga perusahaan cloud, rinciannya adalah NHN Cloud 4,50%, Naver Cloud 2,48%, dan KT Cloud 1,64%. Tiga perusahaan telekomunikasi besar seperti SK Telecom, KT, dan LG Uplus berada di kisaran 0,44-0,49%, sedangkan Naver dan Kakao masing-masing sebesar 0,43% dan 0,34%. SK Telecom telah merefleksikan nilai investasi SK Broadband yang menjalankan bisnis kabel secara terpisah.

Rasio investasi perlindungan informasi dari perusahaan telekomunikasi dan dua perusahaan IT besar tersebut tidak melampaui 10% bahkan jika dibandingkan dengan laba operasional. Dilihat berdasarkan sektor, rasio investasi perlindungan informasi terhadap laba operasional di industri telekomunikasi adalah SK Telecom 8,69%, KT 7,38%, dan LG Uplus 3,60%. Meski skala investasi perlindungan informasi Kakao berada di angka 61% dari Naver, rasio investasi perlindungan informasi terhadap laba operasionalnya mencapai 5,11%, lebih tinggi daripada Naver.

Tiga perusahaan cloud menunjukkan rasio investasi perlindungan informasi yang tinggi terhadap laba operasional. Pada tahun 2023, Naver Cloud menginvestasikan lebih dari 3 kali lipat laba operasionalnya ke sektor perlindungan informasi. NHN berinvestasi sebesar 6,3 miliar won meskipun mengalami kerugian 28,4 miliar won, sementara KT Cloud (25,19%), yang mencatatkan laba 44,2 miliar won, membelanjakan 11,133 miliar won untuk perlindungan informasi pada tahun yang sama. Layanan cloud menyimpan dan memproses data banyak pelanggan, sehingga insiden keamanan seperti kebocoran data atau penghentian layanan dapat menyebabkan kerugian besar; oleh karena itu, investasi aktif dalam sistem perlindungan informasi dan pengamanan tenaga ahli sangat dibutuhkan. Hal ini juga dipengaruhi oleh kebutuhan investasi awal yang besar untuk pembangunan infrastruktur dan skala laba operasional yang relatif kecil dibandingkan perusahaan lain.

Sikap ‘Acuh Tak Acuh’ Perusahaan yang Baru Memperbaiki Kandang Setelah Ternak Hilang

“Saya pikir ini adalah area yang hanya ditangani oleh TI.”

“Sepertinya situasi saat ini harus dipandang bukan sebagai masalah keamanan, melainkan sebagai pertahanan nasional.”

Ketua SK Group, Chey Tae-won, mengatakan hal tersebut saat sesi tanya jawab setelah menyampaikan permohonan maaf kepada publik di kantor pusat Euljiro, Seoul, pada tanggal 7 lalu. Itu adalah jawabannya atas pertanyaan mengenai perasaan pribadinya. Chey menyatakan, “Selama ini saya menganggap keamanan hanya sebagai ranah divisi informasi dan komunikasi, dan hanya mengandalkan tim khusus,” seraya menambahkan, “Melalui insiden ini, saya sangat menyadari betapa pentingnya keamanan bagi grup secara keseluruhan, dan saya berjanji akan meningkatkan investasi di masa depan.” Penampilan seorang pimpinan yang baru sekarang menyadari pentingnya keamanan menunjukkan adanya kesenjangan yang cukup jauh antara persepsi pimpinan dengan perusahaan yang sedang sibuk menangani insiden kebocoran serta sentimen publik.

Dalam insiden kebocoran data berskala besar ini, SK Telecom menuai kritik karena melakukan investasi perlindungan informasi paling sedikit di antara tiga perusahaan besar tersebut. Skala pelaksanaan investasi yang diungkapkan SK Telecom tahun lalu adalah yang terendah di antara ketiga perusahaan telekomunikasi (60 miliar won). Jumlah ini tidak mencapai 63,2 miliar won yang dilakukan oleh LG Uplus, dan bahkan jika digabungkan dengan SK Broadband (26,7 miliar won) yang menangani bisnis kabel secara terpisah, totalnya mencapai 86,7 miliar won, masih lebih rendah daripada KT (121,7 miliar won) yang menjalankan bisnis kabel dan nirkabel.

SK Telecom berencana untuk memperkuat sistem keamanan siber secara menyeluruh di tingkat grup. Untuk meningkatkan sistem perlindungan informasi grup, mereka akan membentuk ‘Komite Khusus Inovasi Perlindungan Informasi’ dan menempatkannya sebagai komite kesembilan di bawah Dewan SUPEX, badan musyawarah tertinggi grup. Untuk meningkatkan independensi dan profesionalisme, para pakar eksternal dari dunia akademis dan industri akan dilibatkan.

KT dan LG Uplus juga sempat melakukan penataan ulang seperti peningkatan jumlah investasi perlindungan informasi setelah insiden peretasan yang menembus jaringan keamanan mereka. Para pakar menunjukkan perlunya menilai dampak risiko keamanan terhadap bisnis secara rasional. Kwon Heon-young, profesor di Sekolah Pascasarjana Perlindungan Informasi Universitas Korea yang berpartisipasi sebagai ahli eksternal dalam komite, menyatakan, “Di Korea, jumlah ganti rugi yang diakui pengadilan sangat kecil dan beban pembuktian kerugian juga dibebankan kepada korban. Perusahaan lalai dalam investasi perlindungan informasi karena mereka tidak memikul tanggung jawab yang konkret dan jelas.” Ia menambahkan, “Karena mereka telah merencanakan langkah-langkah pasca-insiden seperti peningkatan investasi setelah kebocoran ini, hal tersebut harus berujung pada perbaikan yang revolusioner.”

Jeon Chang-bae, Ketua Asosiasi Etika Kecerdasan Buatan Internasional (IAAE), menegaskan, “Keamanan memberikan hasil sesuai dengan apa yang diinvestasikan. Saat ini, saya melihat angka absolutnya masih kurang. Mayoritas perusahaan yang menjadi target, termasuk tiga perusahaan telekomunikasi, adalah perusahaan yang sedang membicarakan transisi ke AI. Masih ada keraguan apakah investasi telah dilakukan dengan baik terkait keamanan AI yang akan menjadi masalah besar di masa depan. Diperlukan pertimbangan yang proaktif.”