[비즈한국] Menyusul serangkaian insiden kebocoran data berskala besar yang terjadi tahun ini, efektivitas regulasi mulai dipertanyakan sehingga memicu upaya legislasi untuk memperketat perlindungan informasi. Sejak insiden peretasan USIM (Modul Identitas Pelanggan) SK Telecom017670, kebocoran data pelanggan berulang kali terjadi di Yes24053280, KT030200, Lotte Card, dan perusahaan lainnya. Selama enam bulan terakhir, terdapat 25 rancangan undang-undang (RUU) perubahan Undang-Undang Jaringan Informasi dan Komunikasi yang diusulkan untuk mengubah sistem manajemen perlindungan informasi (ISMS) dan prosedur investigasi. RUU yang mewajibkan pemberitahuan potensi kebocoran kepada calon korban dan tindakan perlindungan bagi seluruh pengguna juga sedang didorong. Di tengah tuntutan penguatan sistem akibat berulangnya insiden serupa dan keterlambatan pelaporan, kini muncul perhatian besar apakah rentetan RUU ini mampu menutup "celah" keamanan yang ada.
Pencegahan Penundaan Respons Perusahaan dan Spesifikasi Kewajiban Menjadi Kunci
Sejak insiden peretasan USIM SK Telecom yang terjadi pada bulan April tahun ini, Parlemen semakin gencar menyusun langkah-langkah pencegahan. Menurut Sistem Informasi Legislatif Nasional per tanggal 2, terdapat 25 "RUU Perubahan Undang-Undang tentang Peningkatan Pemanfaatan Jaringan Informasi dan Komunikasi serta Perlindungan Informasi (RUU Jaringan Informasi dan Komunikasi)" yang diajukan dalam enam bulan terakhir. Isi utamanya mencakup spesifikasi kewajiban pelaporan dan pemberitahuan untuk mencegah perusahaan menunda atau menghindari tanggung jawab, serta sistematisasi investasi anggaran perlindungan informasi dan status operasional sistem manajemen.
Undang-undang saat ini memang mengatur kewajiban perlindungan pengguna, namun tidak memiliki ketentuan spesifik mengenai tindakan perlindungan saat terjadi insiden pelanggaran seperti peretasan. Banyak pihak menilai bahwa aturan yang mengizinkan penundaan pemberitahuan dalam kasus-kasus tertentu telah menciptakan "lubang" dalam respons. Berbagai RUU terpisah telah mengusulkan langkah-langkah seperti: △Pembebanan kewajiban pemulihan kerugian yang cepat dan peningkatan denda administratif bagi yang melanggar (RUU anggota parlemen Choi Min-hee); △Kewajiban evaluasi tingkat perlindungan informasi bagi operator skala tertentu dan pengumuman hasilnya (RUU anggota parlemen Lee Hae-min); △Pemberian wewenang manajemen sumber daya manusia dan penyusunan anggaran kepada Chief Information Security Officer (CISO) (RUU anggota parlemen Cho In-cheol); serta △Kewajiban sertifikasi sistem manajemen perlindungan informasi bagi instansi publik (RUU anggota parlemen Kim Ki-hyun).
RUU tersebut bermula dari perilaku perusahaan yang menunda atau menutupi laporan, kelemahan sistem respons pemerintah, dan area buta keamanan di instansi publik yang terungkap dalam insiden kebocoran data pribadi berskala besar baru-baru ini. Banyak RUU memuat diskusi legislatif untuk mencantumkan secara spesifik wewenang lembaga berwenang dan sarana sanksi dalam undang-undang, serta membebankan kewajiban kepada perusahaan untuk mencegah penyebaran kerugian dan melakukan pemulihan.
Berdasarkan data yang diterima anggota parlemen Lee Hae-min dari Partai Inovasi Cho Kuk, yang bertugas di Komite Sains, Teknologi, Informasi, Penyiaran, dan Komunikasi, dari Korea Internet & Security Agency (KISA), terdapat 66 kasus keterlambatan atau tidak melapor yang terkonfirmasi selama satu tahun sejak Agustus tahun lalu. Meskipun perubahan UU Jaringan Informasi dan Komunikasi pada bulan Agustus tahun lalu mewajibkan pelaporan dalam waktu 24 jam setelah insiden, beberapa perusahaan bahkan baru melapor satu tahun setelah mengetahui adanya insiden. Sanksi saat ini yang hanya berupa denda administratif maksimal 30 juta won dinilai memicu perusahaan untuk menghindari pelaporan.
Insiden kebocoran data berskala besar yang berulang setiap bulan tahun ini menunjukkan adanya kelemahan dalam sistem pencegahan dini dan respons pasca-insiden pemerintah. Mulai dari Coupang yang baru-baru ini mengalami kebocoran data pribadi 33,7 juta pelanggan, hingga SK Telecom, Yes24, Lotte Card, dan KT, semuanya adalah perusahaan yang telah menerima sertifikasi keamanan tingkat tertinggi yaitu 'ISMS-P (Sertifikasi Sistem Manajemen Perlindungan Informasi dan Data Pribadi)'.
Di antaranya, Lotte Card memperoleh sertifikasi ini dari Financial Security Institute dua hari sebelum terjadi peretasan server. Mereka diakui memiliki kapasitas untuk merespons ancaman siber secara efektif. Di luar sektor keuangan, insiden keamanan di sektor swasta ditangani oleh KISA di bawah Kementerian Sains dan TIK sesuai dengan UU Jaringan Informasi dan Komunikasi serta UU Industri Perlindungan Informasi. Sertifikasi keamanan yang diperkenalkan pemerintah untuk menjamin stabilitas jaringan informasi ini justru dikritik karena dianggap hanya bersifat formalitas yang memenuhi standar minimum saja.
Penguatan Sistem Keamanan Internal Perusahaan... Kewajiban ‘Tindakan Perlindungan’ Juga Didorong
Dalam periode yang sama, RUU perubahan UU Perlindungan Data Pribadi (18 RUU) dan UU Bisnis Telekomunikasi (5 RUU) juga menyusul. Kerangka besarnya serupa, yaitu perlunya memberikan informasi yang cepat dan memadai kepada subjek data terkait kebocoran data pribadi, serta memperkuat wewenang pemerintah.
Secara spesifik, RUU perubahan UU Perlindungan Data Pribadi membahas ketentuan rinci untuk menjamin hak mengetahui subjek data, seperti: △Penguatan prosedur pemberitahuan hak pada tahap pemrosesan dan pengumpulan data pribadi, perluasan kewajiban evaluasi dampak data pribadi ke sektor swasta (RUU anggota parlemen Park Min-kyu); △Kewajiban pemberitahuan individual kepada semua calon korban yang berpotensi terdampak kebocoran (RUU anggota parlemen Lee Hoon-ki); △Kewajiban pemberitahuan individual melalui telepon, pesan, email, surat, serta kewajiban mengumumkan langkah pencegahan berulangnya insiden, yang disebut sebagai 'UU Kewajiban Pemberitahuan Individual' (RUU anggota parlemen Lee Hae-min).
Pada tanggal 19 bulan lalu, Sub-komite Legislasi dari Komite Sains, Teknologi, Informasi, Penyiaran, dan Komunikasi telah menyetujui RUU perubahan UU Jaringan Informasi dan Komunikasi sebagai usulan komite untuk memperkuat struktur pengambilan keputusan dan sistem tanggung jawab perlindungan informasi internal perusahaan. Isinya mencakup upaya penyedia layanan informasi dan komunikasi untuk mengamankan tenaga ahli perlindungan informasi dan anggaran yang memadai, memberikan wewenang manajemen SDM dan penyusunan anggaran kepada CISO, serta melaporkan status perlindungan informasi kepada dewan direksi.
Pihak berwenang baru-baru ini menunjukkan tekad untuk membangun sistem regulasi dengan kekuatan paksaan yang lebih besar. Dengan meluasnya insiden peretasan ke sektor keuangan, Komisi Jasa Keuangan (FSC) juga mengisyaratkan rencana perubahan UU Transaksi Keuangan Elektronik yang secara signifikan meningkatkan level sanksi, seperti pengenalan denda dan denda kepatuhan. Berdasarkan UU Perlindungan Data Pribadi saat ini, denda dapat dikenakan maksimal 3% dari total penjualan. Sebaliknya, RUU perubahan UU Transaksi Keuangan tidak memiliki langkah sanksi pasca-insiden yang memadai.
Lembaga Penelitian Legislatif Nasional (NARS) juga menyoroti perlunya perbaikan terhadap respons perusahaan yang pasif dalam menangani insiden serta penanganan pemerintah yang tidak memadai. Laporan terkait menyebutkan, "Perlu dipertimbangkan untuk menetapkan secara spesifik target, isi, dan metode peringatan yang harus diambil ketika insiden pelanggaran terjadi dalam UU Jaringan Informasi dan Komunikasi, serta menyusun sistem agar fakta peretasan dapat diinformasikan dengan cepat melalui sistem peringatan bencana jika dianggap dapat menimbulkan risiko luas atau serius, dengan berkonsultasi bersama Menteri Dalam Negeri dan Keselamatan." Opsi untuk mengklasifikasikan insiden pelanggaran di bawah UU Jaringan Informasi dan Komunikasi sebagai bencana penyiaran dan komunikasi sesuai UU Dasar Pengembangan Penyiaran dan Komunikasi juga sedang dibahas.
Kompensasi aktual bagi korban individu juga menarik perhatian. Kasus SK Telecom merupakan kasus permohonan mediasi sengketa kolektif pertama setelah diberlakukannya mediasi sengketa kolektif dan gugatan kelompok, namun pada tanggal 20 lalu, perusahaan tersebut menolak rancangan mediasi dari Komite Mediasi Perlindungan Data Pribadi yang meminta mereka membayar 300.000 won per orang kepada korban kebocoran data pribadi.
Park So-young, peneliti legislatif di NARS, menekankan, "Penyediaan langkah pemulihan yang efektif bagi kerugian kecil dan banyak korban akibat pelanggaran data pribadi jelas diperlukan dan membutuhkan kajian mendalam." Namun, ia juga menambahkan, "Jika ingin menerapkan gugatan kelompok di Korea yang memiliki sistem hukum berbeda dengan Amerika Serikat, diperlukan pertimbangan yang hati-hati dan desain sistem yang cermat."