[비즈한국] Beban keamanan pada tiga perusahaan telekomunikasi besar semakin meningkat setelah rentetan kebocoran data pribadi berskala besar, insiden peretasan, dan dugaan kebocoran data. Hal ini terjadi karena Undang-Undang Perlindungan Informasi Pribadi yang telah direvisi mulai berlaku sejak tanggal 11, yang memungkinkan pengenaan denda hingga 10% dari total pendapatan atas pelanggaran informasi pribadi yang bersifat berulang atau berat. Meskipun setiap perusahaan meningkatkan investasi dan tenaga kerja di bidang perlindungan informasi, terdapat perbedaan dalam cara mereka membenahi sistem pertanggungjawaban pasca-insiden.
KT dan SKT Pisahkan Jabatan CISO & CPO… LG Uplus Tetap Merangkap Jabatan
Menurut industri telekomunikasi pada tanggal 15, KT dan SK Telecom telah membenahi organisasi keamanan dan sistem manajemen mereka setelah serangkaian peretasan dan kebocoran data pribadi. Sebaliknya, LG Uplus tetap mempertahankan sistem yang ada di mana Chief Information Security Officer (CISO) dan Chief Privacy Officer (CPO) dijabat oleh orang yang sama, meskipun mereka juga memperluas investasi keamanan.
KT merekrut tenaga ahli dari Institut Keuangan Korea sebagai CISO, dan pada bulan April lalu, mereka menunjuk Kim Chang-o, manajer program (PM) keamanan informasi di Kementerian Sains dan ICT, sebagai CPO, sehingga memisahkan kedua peran tersebut. Setelah itu, mereka memperkuat tata kelola perlindungan informasi yang berpusat pada CISO dan membentuk "Tim Merah", sebuah organisasi khusus yang memeriksa sistem pertahanan perusahaan dari sudut pandang penyerang sungguhan.
SK Telecom merombak sistem pertanggungjawaban keamanannya terlebih dahulu. Mereka memisahkan kedua peran tersebut dengan menaikkan tingkat organisasi CISO langsung di bawah CEO dan menempatkan CPO secara terpisah. Wewenang CPO juga diperluas agar dapat mengelola dan mengawasi aset data pribadi di seluruh perusahaan, termasuk area IT dan infrastruktur. Cakupan sertifikasi perlindungan informasi juga diperluas ke sistem manajemen pelanggan telepon seluler dan layanan utama lainnya.
Sejak dilantiknya CEO Hong Bum-sik, LG Uplus mengakuisisi perusahaan keamanan khusus Pago Networks dan berpartisipasi dalam "proyek percontohan pelaporan, penanganan, dan pengungkapan kerentanan keamanan (CVD/VDP)" yang dipromosikan oleh Kementerian Sains dan ICT, sehingga memperluas sistem deteksi dan respons dini terhadap risiko keamanan. Namun, saat ini Kepala Pusat Keamanan Informasi masih merangkap jabatan sebagai CISO dan CPO, dan diketahui tidak ada rencana untuk memisahkan kedua jabatan tersebut meskipun setelah adanya dugaan peretasan baru-baru ini.
Merangkap jabatan CISO dan CPO, atau CPO yang memegang tanggung jawab lain, sebenarnya bukan merupakan pelanggaran hukum. Sulit untuk menyimpulkan bahwa memisahkan kedua posisi tersebut dapat menjamin pencegahan kebocoran data pribadi. Namun, jika CISO bertanggung jawab atas respons insiden pelanggaran dan perlindungan informasi secara keseluruhan, CPO mengawasi seluruh proses mulai dari pengumpulan, penggunaan, hingga penyimpanan dan pemusnahan data pribadi. Undang-Undang Perlindungan Informasi Pribadi yang direvisi kini memperjelas wewenang CPO dan tanggung jawab akhir dari perwakilan perusahaan.
Undang-undang yang direvisi juga mencakup ketentuan untuk menjamin wewenang dan status agar CPO dapat menjalankan tugas perlindungan data pribadi secara independen, serta menyediakan tenaga kerja dan anggaran yang diperlukan. Oleh karena itu, faktor pentingnya adalah apakah CISO dan CPO memiliki wewenang, tenaga kerja, dan anggaran yang diperlukan untuk menjalankan peran masing-masing secara efektif. Terlepas dari apakah jabatan dirangkap atau tidak, kuncinya terletak pada bagaimana sistem pengelolaan dan pengawasan data pribadi dioperasikan secara nyata.
Investasi Keamanan & Penambahan Personel… Langkah Lanjutan Masih Berjalan
Ketiga perusahaan telekomunikasi juga sedang melakukan investasi di bidang perlindungan informasi seiring dengan pembenahan organisasi. Menurut data pengungkapan perlindungan informasi dari Korea Internet & Security Agency (KISA), investasi perlindungan informasi tahun lalu tercatat sebesar 127,6 miliar won untuk KT, 126 miliar won untuk LG Uplus, dan 111,1 miliar won untuk SK Telecom. Namun, karena perbedaan skala bisnis, konfigurasi sistem informasi, dan cakupan aset yang harus dilindungi, sulit untuk membandingkan kapasitas keamanan hanya berdasarkan besaran nominal investasi.
Penambahan tenaga kerja khusus juga terus dilakukan. SK Telecom meningkatkan jumlah staf perlindungan informasi sebanyak 56% dibandingkan tahun sebelumnya. KT menempatkan lebih dari separuh dari total 317 staf perlindungan informasinya sebagai staf keamanan internal dan terus berupaya menambah personel. Setelah merekrut tenaga berpengalaman untuk bidang tinjauan keamanan bulan lalu, bulan ini mereka sedang merekrut tenaga berpengalaman untuk posisi arsitek keamanan.
Terlepas dari perluasan investasi, masih ada tugas yang harus diselesaikan. SK Telecom masih dalam proses melakukan beberapa langkah seperti perluasan penerapan EDR untuk pemantauan/pemblokiran real-time dan perluasan cakupan sertifikasi Sistem Manajemen Perlindungan Informasi dan Privasi (ISMS-P). KT juga menerima perintah perbaikan dari Komite Perlindungan Informasi Pribadi pada bulan Juli lalu untuk memeriksa kerentanan pada seluruh fasilitas komunikasi seperti femtocell dan menyusun serta melaporkan langkah-langkah pencegahan berulangnya insiden yang mencakup pelaksanaan peran nyata CPO dalam waktu 3 bulan.
LG Uplus juga sedang diselidiki oleh otoritas hukum terkait dugaan penghancuran barang bukti, di mana Komite Perlindungan Informasi Pribadi mencurigai server terkait telah dimusnahkan sebelum dimulainya penyelidikan atas kebocoran data pribadi tahun lalu. Ini adalah masalah yang perlu diklarifikasi fakta dan tanggung jawabnya melalui penyelidikan, dan belum dipastikan adanya penghancuran barang bukti.
Bisakah Denda "Triliunan" Diberlakukan Jika Terjadi Insiden Berulang?
Latar belakang di balik percepatan penguatan sistem keamanan oleh perusahaan telekomunikasi adalah beban denda yang meningkat tajam. Sejak tanggal 11, dengan diberlakukannya revisi Undang-Undang Perlindungan Informasi Pribadi beserta aturan pelaksanaannya, denda hingga 10% dari total pendapatan dapat dikenakan untuk pelanggaran informasi pribadi yang bersifat berulang atau berat.
Objek penerapan khusus ini mencakup kasus di mana pelanggaran dilakukan secara berulang dalam 3 tahun terakhir karena kesengajaan atau kelalaian berat, kasus yang menimbulkan kerugian bagi lebih dari 10 juta orang karena kesengajaan atau kelalaian berat, serta kasus terjadinya kebocoran data pribadi akibat tidak dipatuhinya perintah perbaikan. Denda 10% tidak langsung diterapkan hanya karena terjadi insiden atau besarnya skala kerugian. Kewajiban sertifikasi ISMS-P bagi perusahaan operator seluler dijadwalkan mulai berlaku efektif pada bulan Juli tahun depan.
Untuk mengukur skala beban, jika dihitung secara sederhana berdasarkan 10% dari pendapatan konsolidasi tahun lalu, maka angkanya sekitar 2,82 triliun won untuk KT, 1,71 triliun won untuk SK Telecom, dan 1,55 triliun won untuk LG Uplus. Namun, angka ini hanyalah perhitungan sederhana 10% dari pendapatan, sedangkan denda sebenarnya dihitung berdasarkan beratnya pelanggaran, durasi, frekuensi, skala kerugian, serta kerja sama dalam penyelidikan atau upaya pencegahan terulangnya insiden. Meskipun demikian, jika terjadi insiden yang memenuhi kriteria khusus tersebut, risiko finansial yang harus ditanggung perusahaan telekomunikasi jauh lebih besar dari sebelumnya.
Namun, muncul pandangan bahwa ambang batas penerapan khusus denda yang diperketat ini sebenarnya cukup tinggi. Industri menilai bahwa bagi perusahaan besar yang telah menerima sertifikasi perlindungan informasi dan terus melakukan investasi keamanan berskala besar seperti perusahaan telekomunikasi, sulit untuk mengakui adanya kesengajaan atau kelalaian berat hanya berdasarkan fakta terjadinya insiden.
Seorang narasumber industri menyatakan, "Kesengajaan atau kelalaian berat mengasumsikan situasi yang sangat luar biasa, seperti mengetahui adanya potensi kebocoran data pribadi tetapi tidak melakukan tindakan yang diperlukan. Kecil kemungkinan ini akan diterapkan pada perusahaan yang telah menerima sertifikasi keamanan dan berinvestasi secara konsisten seperti perusahaan telekomunikasi. Aturan ini lebih bersifat menghukum yang ditargetkan pada kasus di mana hasil penyelidikan menunjukkan bahwa perusahaan benar-benar tidak melakukan persiapan apa pun."