韓国、データ漏えいへの罰金を売上の最大10%に引き上げ
Korea raises data breach fines to 10% of revenue
韓国の改正個人情報保護法が施行され、意図的または重大な過失による大規模な個人データ漏えいに対し、売上の最大10%の罰金が科されることになった。従来の上限3%から大幅に強化され、Coupangの事例に当てはめれば罰金は数兆ウォンに達する可能性がある。一方で、事前のデータ保護投資や早期発見・届け出を行った企業には最大40%の減額措置も用意されている。
企業がデータ保護への投資をコストと見なすのではなく、顧客の信頼を築き、企業の利益を拡大する積極的な投資と捉えるようになることを期待している。
HNでの議論
108- augment_me
私の大学がやったことをそのままやればいい。従業員3人の小さなペーパーカンパニーを雇って全データをそこに置き、ハッキングされたらその会社は倒産し、同じような形態と機能を持つ新しいペーパーカンパニーに切り替えるだけだ。
金の使用を最小限に抑え、セキュリティ投資も一切不要だ。
- prologic
わあ！ :O ついに、企業にセキュリティとプライバシーを_本当に_（もしかしたら）気にさせるようなものを提案する度胸のある立法者が現れた！これが他の国でも採用され始めるのが待ちきれない。やっとだ！
- SoftTalker
「意図的または重大な過失により」
韓国の法律には詳しくないが、これはかなり高いハードルに思える。実際に科される罰金はあまり見られないだろう。
- hn_submit
これこそ西洋に必要なものだ！ここでは誰もセキュリティや顧客データが路上に流出することなど気にしていないのではないかと強く疑っている。
セキュリティには金がかかるし、過失に対する罰則がなければ、経営陣は会社のデータを守ることよりも収益性の向上を優先するという計算をするだろう。
- _the_inflator
ベルリンなどの政府はどうなんだ？大規模なデータ侵害があったが、どうなった？責任者たちには何も起こらない。
だからこれは韓国であっても、現代の偽善だ。企業はますます複雑な規制に従わなければならない一方で、国家を統治する者たちはお咎めなしだ。
もしベルリンの事件が民間企業に起こっていたら、地獄が解き放たれていただろう。
ベルリンは何年にもわたり、特に保守とセキュリティに関するIT予算を大幅に削減してきた。実際、明らかになったこと――CCCの講演などを参照すると――はあまりにも恥ずかしいもので、企業はハッキングされるたびにボーナスをもらうべきだ。
- markhahn
これは素晴らしい、ただし少し低い。
売上に基づくのは理にかなっている。痛手を与えることが目的だからだ。しかしそれなら、より高い割合を主張することになる。だが肝心なのは、セキュリティをより真剣に受け止めるインセンティブを導入することだ。
- roundup
世界的に採用されると仮定すれば、バグバウンティの支払いが増えるという副作用もある。最近のOpenAIの侵害を考えてみよう。攻撃によるRCE、SSO設定の欠陥、そしてその後の従業員アカウントの乗っ取りで、たった6500ドルの報奨金だった。1兆ドル企業なのに。
- xp84
意図は顧客を守ることだと仮定している。
罰金を意図や重大な過失に結びつけるのは私には納得できない。顧客は理由など気にしない、ただ被害が起きたことだけを気にする。全員をしっかり訓練して一人が一度だけ訓練を忘れたとしても、あるいは全く訓練しなくても、私には関係ない。
私が考えているのはこうだ：
（以下の例は「アメリカ的」な用語で、他の国にもSSNに似たものがあると仮定している）
- 氏名と住所、または氏名と電話番号の漏えい：影響を受けた顧客1人につき100ドル。
- メール：影響を受けた顧客1人につき50ドル、他のデータと結びついている場合は100ドル。
- 社会保障番号：影響を受けた顧客1人につき2000ドル
- ソルトなしまたは平文のパスワード：影響を受けた顧客1人につき500ドル。
- 上限は年間EBITDAの200%か売上の20%のいずれか大きい方
金は政府に渡り、影響を受けたユーザーに直接（非課税で）分配される。
これで特にひどい侵害では数社が破綻するかもしれないが、企業がまだ慣れていないうちは。いいね！そうなってほしいし、ビジネスの教科書がエンロン破綻を扱うように、そうした惨事を取り上げてほしい。
このシステムの目標は、企業が機密データを保持する（あるいは一瞬でも触れる）リスクを適切に価格に織り込むことだ。例えばSSNは（まともな世界なら）どんな企業にとっても触れることすら検討するのが危険なものになっているはずだ。企業がそれを収集したり保持したりする必要を感じるなら、正直言って、考え直せと言いたい。信用情報機関は最悪の違反者であり（私のルールでは […]