La Commission de protection des renseignements personnels (PIPC) et le Ministère de la science et des technologies de l'information et de la communication (MSTIC) annoncent le renforcement global de l'efficacité des certifications des systèmes de gestion de la sécurité de l'information et de la protection des renseignements personnels (ISMS et ISMS-P) visant la prévention des fuites et des dommages aux actifs informationnels.
Lors d'une réunion tenue le 6 à 16h sous la présidence de la PIPC et en présence du vice‑ministre du MSTIC et du directeur de l'Agence coréenne pour Internet et la sécurité (KISA), les autorités ont justifié la révision par la répétition d'incidents de piratage et de fuites massives de données affectant des entreprises certifiées. Elles engagent une refonte complète du dispositif de certification fondée sur les dispositions de la loi sur les réseaux d'information et de communication (article 47) et de la loi sur la protection des renseignements personnels (article 32‑2).
La réforme prévoit de rendre obligatoire le système de gestion de la sécurité de l'information et de la protection des renseignements personnels (ISMS-P) pour les principaux systèmes de traitement de données à caractère personnel publics et privés (principaux systèmes publics, opérateurs de télécommunications, grandes plateformes), d'élaborer des critères renforcés pour les opérateurs à fort impact public, et de proposer rapidement les modifications législatives nécessaires aux lois précitées. Le processus d'audit sera renforcé : vérification préalable des éléments clés, renforcement des expertises techniques et des vérifications sur site, création de commissions d'agrément sectorielles et formation des auditeurs aux nouvelles technologies, notamment l'intelligence artificielle. La gestion post‑certification sera aussi durcie : mise en œuvre de contrôles spéciaux après incident pour vérifier la conformité, possibilité d'annulation de la certification après décision de la commission en cas de défaillance majeure, et doublement des ressources et de la durée des inspections post‑incident pour les entreprises concernées afin de contrôler les causes et les mesures de prévention de la récurrence.

Dès ce mois‑ci, la PIPC mènera des inspections sur site auprès des entreprises certifiées victimes de fuites ; pour les entreprises actuellement en enquête, comme Coupang, KISA et l'Institut de sécurité financière (ISF) conduiront des vérifications portant sur la conformité des critères d'agrément, des audits et de la délivrance des certificats, en liaison avec les enquêtes conjointes de la PIPC et du MSTIC. Le MSTIC a demandé des contrôles d'urgence aux quelque 900 entreprises titulaires de la certification ISMS, portant sur les vulnérabilités de tous les points de contact Internet, avec vérification sur site des résultats des contrôles à partir du début 2026. Les améliorations finales seront arrêtées par le groupe de travail conjoint MSTIC‑CPRP‑organismes certificateurs et intégrées, le cas échéant, dans une modification de l'avis réglementaire qui sera mise en œuvre progressivement au premier trimestre 2026.