[비즈한국] Trước hàng loạt vụ rò rỉ dữ liệu quy mô lớn xảy ra liên tiếp trong năm nay, hiệu quả của các quy định hiện hành đang bị đặt dấu hỏi, dẫn đến làn sóng lập pháp nhằm tăng cường bảo mật thông tin đang diễn ra vô cùng sôi nổi. Trong vòng nửa năm qua, sau sự cố tấn công mạng thẻ SIM (thiết bị nhận diện thuê bao) của SK Telecom017670, các vụ rò rỉ thông tin khách hàng liên tục tái diễn tại Yes24053280, KT030200, Lotte Card và các đơn vị khác. Hệ quả là đã có 25 dự thảo sửa đổi Luật Mạng thông tin truyền thông được đệ trình với nội dung thay đổi Hệ thống quản lý bảo mật thông tin (ISMS) và các thủ tục điều tra. Các dự luật yêu cầu thông báo khả năng rò rỉ cho cả nạn nhân tiềm năng hoặc bắt buộc thực hiện các biện pháp bảo vệ đối với tất cả người dùng cũng đang được thúc đẩy. Trong bối cảnh các vụ việc tương tự và tình trạng báo cáo chậm trễ lặp đi lặp lại khiến tiếng nói đòi tăng cường hệ thống ngày càng lớn, dư luận đang đổ dồn sự chú ý vào việc liệu những dự luật này có thể lấp đầy các “lỗ hổng” bảo mật hay không.
Trọng tâm là ngăn chặn sự chậm trễ trong phản ứng của doanh nghiệp và cụ thể hóa nghĩa vụ
Kể từ sau sự cố tấn công SIM của SK Telecom vào tháng 4 năm nay, Quốc hội đã tích cực chuẩn bị các đối sách. Theo Hệ thống Thông tin Lập pháp Quốc hội vào ngày 2, đã có 25 dự thảo “Sửa đổi một phần Luật thúc đẩy sử dụng mạng thông tin truyền thông và bảo vệ thông tin, v.v. (Sửa đổi Luật Mạng thông tin truyền thông)” được đệ trình trong vòng 6 tháng qua. Nội dung chủ yếu tập trung vào việc cụ thể hóa nghĩa vụ báo cáo và thông báo để ngăn chặn tình trạng doanh nghiệp trì hoãn hoặc né tránh ứng phó, đồng thời hệ thống hóa các vấn đề như đầu tư ngân sách cho bảo mật và thực trạng vận hành hệ thống quản lý.
Dù luật hiện hành quy định nghĩa vụ bảo vệ người dùng, nhưng lại thiếu các quy định cụ thể về biện pháp bảo vệ khi xảy ra sự cố xâm nhập như hack. Nhiều đánh giá cho rằng việc cho phép hoãn thông báo trong các trường hợp ngoại lệ đã tạo ra “lỗ hổng” trong khâu ứng phó. Các dự thảo sửa đổi riêng lẻ đã đề xuất những nội dung như: △Áp đặt nghĩa vụ cứu trợ thiệt hại nhanh chóng và tăng mức phạt tiền khi không thực hiện (dự thảo của nghị sĩ Choi Min-hee) △Bắt buộc đánh giá mức độ bảo mật thông tin đối với các doanh nghiệp quy mô nhất định và công khai kết quả (dự thảo của nghị sĩ Lee Hae-min) △Trao quyền quản lý nhân sự và lập ngân sách cho Giám đốc bảo mật thông tin - CISO (dự thảo của nghị sĩ Jo In-cheol) △Bắt buộc chứng nhận hệ thống quản lý bảo mật thông tin đối với các cơ quan công cộng (dự thảo của nghị sĩ Kim Gi-hyeon).
Các dự luật này xuất phát từ những điểm yếu được bộc lộ trong các vụ rò rỉ thông tin cá nhân quy mô lớn gần đây, như hành vi trì hoãn và che giấu báo cáo của doanh nghiệp, sự yếu kém trong hệ thống phản ứng của chính phủ và các "điểm mù" bảo mật tại các cơ quan công cộng. Nhiều dự luật đưa ra các thảo luận lập pháp nhằm đưa quyền hạn của cơ quan quản lý và phương tiện chế tài vào luật một cách cụ thể, đồng thời áp đặt nghĩa vụ ngăn chặn sự lây lan thiệt hại và cứu trợ cho doanh nghiệp.
Theo tài liệu mà nghị sĩ Lee Hae-min của Đảng Dân chủ Xã hội (thuộc Ủy ban Khoa học, Công nghệ, Thông tin và Truyền thông Quốc hội) nhận được từ Cơ quan Internet và Bảo mật Hàn Quốc (KISA), trong 1 năm kể từ tháng 8 năm ngoái, đã có 66 trường hợp báo cáo chậm hoặc không báo cáo. Mặc dù sửa đổi Luật Mạng thông tin truyền thông vào tháng 8 năm ngoái đã bắt buộc phải báo cáo trong vòng 24 giờ kể từ khi xảy ra sự cố, nhưng vẫn có những doanh nghiệp báo cáo sau khi đã biết sự cố hơn 1 năm. Nhiều ý kiến cho rằng mức chế tài hiện nay với tiền phạt tối đa chỉ 30 triệu won đang thúc đẩy các doanh nghiệp né tránh việc báo cáo.
Các vụ rò rỉ dữ liệu quy mô lớn lặp đi lặp lại hàng tháng trong năm nay cho thấy cả hệ thống phòng ngừa trước và ứng phó sau của chính phủ đều có lỗ hổng. Từ Coupang, nơi vừa để rò rỉ thông tin cá nhân của 33,7 triệu khách hàng, cho đến SK Telecom, Yes24, Lotte Card và KT, tất cả đều là những doanh nghiệp đã đạt được chứng nhận bảo mật cấp cao nhất của Hàn Quốc là ‘ISMS-P (Chứng nhận hệ thống quản lý bảo mật thông tin và bảo vệ thông tin cá nhân)’.
Trong đó, Lotte Card đã đạt được chứng nhận này từ Viện Bảo mật Tài chính chỉ hai ngày trước khi máy chủ bị tấn công. Họ được công nhận là có đủ năng lực để ứng phó hiệu quả với các mối đe dọa xâm nhập mạng. Ngoài lĩnh vực tài chính, các sự cố bảo mật xảy ra trong khu vực tư nhân do KISA thuộc Bộ Khoa học và CNTT-TT phụ trách theo Luật Mạng thông tin truyền thông và Luật Công nghiệp bảo mật thông tin. Chứng nhận bảo mật này, vốn được chính phủ đưa ra để đảm bảo an toàn mạng, hiện đang bị chỉ trích là một hệ thống mang tính hình thức, chỉ đáp ứng những tiêu chuẩn tối thiểu.
Tăng cường hệ thống bảo mật nội bộ doanh nghiệp… thúc đẩy bắt buộc “biện pháp bảo vệ”
Trong cùng thời gian đó, các dự luật sửa đổi Luật Bảo vệ thông tin cá nhân (18 dự luật) và Luật Kinh doanh viễn thông (5 dự luật) cũng được đưa ra liên tiếp. Điểm chung của các dự luật này là yêu cầu cung cấp thông tin đầy đủ và nhanh chóng cho chủ thể thông tin về việc rò rỉ, đồng thời tăng cường quyền hạn của chính phủ.
Cụ thể hơn, các dự thảo sửa đổi Luật Bảo vệ thông tin cá nhân tập trung vào các quy định chi tiết nhằm bảo đảm quyền được biết của chủ thể thông tin, bao gồm: △Tăng cường quy trình thông báo quyền lợi trong giai đoạn thu thập và xử lý thông tin cá nhân, mở rộng đối tượng bắt buộc đánh giá tác động thông tin cá nhân sang khu vực tư nhân (dự thảo của nghị sĩ Park Min-kyu) △Bắt buộc thông báo riêng lẻ cho tất cả nạn nhân tiềm năng có khả năng bị rò rỉ (dự thảo của nghị sĩ Lee Hoon-ki) △Luật “bắt buộc thông báo riêng lẻ” như thông báo qua điện thoại, tin nhắn, email, văn bản và nghĩa vụ công khai biện pháp ngăn ngừa tái phát (dự thảo của nghị sĩ Lee Hae-min).
Tháng trước, vào ngày 19, Tiểu ban dự luật thuộc Ủy ban Khoa học, Công nghệ, Thông tin và Truyền thông Quốc hội đã thông qua dự thảo sửa đổi Luật Mạng thông tin truyền thông cấp ủy ban nhằm tăng cường cấu trúc ra quyết định và hệ thống trách nhiệm bảo mật thông tin trong doanh nghiệp. Nội dung bao gồm việc yêu cầu nhà cung cấp dịch vụ thông tin truyền thông nỗ lực đảm bảo nhân lực chuyên môn và ngân sách đầy đủ cho bảo mật thông tin, trao quyền quản lý nhân sự và lập ngân sách cho Giám đốc bảo mật thông tin (CISO), đồng thời báo cáo tình trạng bảo mật thông tin lên Hội đồng quản trị.
Các cơ quan chức năng gần đây đã thể hiện ý chí thiết lập một hệ thống quy định có tính cưỡng chế cao hơn. Khi các vụ hack lan rộng sang lĩnh vực tài chính, Ủy ban Dịch vụ Tài chính cũng gợi ý về việc thúc đẩy sửa đổi Luật Giao dịch tài chính điện tử, bao gồm việc tăng mạnh mức chế tài như áp dụng tiền phạt và tiền phạt cưỡng chế thực hiện. Theo Luật Bảo vệ thông tin cá nhân hiện hành, có thể áp đặt mức phạt lên đến 3% tổng doanh thu. Ngược lại, dự thảo sửa đổi Luật Giao dịch tài chính hiện chưa có phương án chế tài hậu kiểm thỏa đáng.
Cơ quan Nghiên cứu Lập pháp Quốc hội cũng chỉ ra sự cần thiết phải cải thiện tình trạng ứng phó thụ động của doanh nghiệp và sự đối phó thiếu sót của chính phủ trong xử lý sự cố. Báo cáo liên quan nêu rõ: “Cần xem xét phương án quy định cụ thể đối tượng, nội dung và cách thức cảnh báo cần thực hiện khi xảy ra sự cố xâm nhập trong Luật Mạng thông tin truyền thông. Trong trường hợp đánh giá sự cố có thể gây nguy hiểm nghiêm trọng hoặc trên diện rộng, cần phối hợp với Bộ trưởng Bộ Nội vụ và An toàn để thiết lập hệ thống sử dụng mạng lưới cảnh báo thiên tai nhằm thông báo nhanh chóng sự thật về vụ hack”. Phương án phân loại sự cố xâm nhập theo Luật Mạng thông tin truyền thông thành thảm họa phát thanh truyền hình theo Luật Cơ bản về phát triển phát thanh truyền hình cũng đang được thảo luận.
Gần đây, việc bồi thường thiệt hại thực chất cho từng nạn nhân cũng đang thu hút sự chú ý. Sự cố của SK Telecom là trường hợp đầu tiên yêu cầu hòa giải tranh chấp tập thể kể từ khi quy định này có hiệu lực, tuy nhiên vào ngày 20, công ty đã từ chối phương án hòa giải của Ủy ban Hòa giải thuộc Ủy ban Bảo vệ thông tin cá nhân, vốn yêu cầu bồi thường 300.000 won cho mỗi nạn nhân bị rò rỉ thông tin cá nhân.
Park So-young, nghiên cứu viên tại Cơ quan Nghiên cứu Lập pháp Quốc hội, nhận định: “Việc chuẩn bị các biện pháp cứu trợ hiệu quả cho các thiệt hại nhỏ lẻ và số lượng lớn do vi phạm thông tin cá nhân là vô cùng cần thiết và cần được xem xét kỹ lưỡng”. Bà nhấn mạnh thêm: “Tại Hàn Quốc, nơi có hệ thống pháp luật khác với Mỹ và các nước khác, việc áp dụng kiện tập thể đòi hỏi phải xem xét thận trọng và thiết kế chế độ tinh tế”.