ISMS・ISMS-P簡易認証制度施行…「中小企業の認証負担を軽減」

2024.07.23. 公正経済 — 科学技術情報通信部、個人情報保護委員会、韓国インターネット振興院（KISA）は、中小企業が「情報保護管理体系（ISMS）」や「情報保護及び個人情報保護管理体系（ISMS-P）」の認証を取得する際の負担を軽減するため、認証基準や認証費用などを簡素化したISMS及びISMS-P認証の特例である「簡易認証」制度を24日から施行すると明らかにした。

現行のISMSおよびISMS-P認証制度は、中堅企業以上が認証基準を満たすように設計されており、中小企業は認証取得・維持に際して多くの認証項目や高額な費用などの困難を訴えてきた。これに対し、中小企業中央会などは、零細・中小企業を対象に評価要素や費用などを軽量化した簡易認証制度の導入を提言したこともある。

政府は、中小企業の規模や特性に応じて緩和された認証基準と費用で認証を取得できるように、特例制度を導入する情報通信網法を改正し、1月に公布した。また、特例制度の適用対象、認証基準、料金などを規定する下位法令を整備し、ISMSおよびISMS-P簡易認証導入の制度的基盤を整えた。

ISMSおよびISMS-P簡易認証の適用対象は、▲情報通信サービス部門の売上が300億ウォン未満の中小企業、▲情報通信サービス部門の売上が300億ウォン以上の中堅企業のうち、社内に主要な情報通信設備を保有していない企業が申請できる。

主要な情報通信設備を保有していないという意味は、社内に自社サーバー、ネットワーク機器、セキュリティソリューションなどの設備を持たず、ショッピングモールの賃貸利用などのウェブホスティングサービスやクラウドサービスを利用する場合を指す。

科学技術情報通信部は、ISMSおよびISMS-Pの義務対象全体のうち、85社（約16％）が簡易認証を受けられると説明した。詳細については、韓国インターネット振興院ウェブサイト（https://isms-p.kisa.or.kr）で確認できる。

ただし、簡易認証の対象要件に該当しても、国民生活に密接な影響を及ぼす▲主要な情報通信サービス提供者▲集積情報通信施設事業者▲一部の上級総合病院・大学▲金融機関▲仮想資産事業者などは、ISMSおよびISMS-P簡易認証を受けることができない。

認証基準は、企業が実効的な情報セキュリティ活動をできるようにするための核心的な必須項目は維持しつつ、企業の負担を軽減するため、中小企業レベルで不要な項目は削除または緩和して設計した。これにより、認証基準項目数は従来比で36〜40項目減少した。

認証審査料金も、認証基準の簡素化に伴い、従来比で約40〜50％程度に削減される。認証準備に必要なセキュリティシステム構築、情報セキュリティ組織の編成、コンサルティングなど、企業が負担する諸費用も減少すると期待される。

一方、KISAは、新たに導入されるISMS及びISMS-P簡易認証制度が企業に定着するよう、適用対象企業などを対象に手続きや方法などを案内するオンライン説明会を24日に開催する予定だ。