- 일본정부는 중앙정부 및 중요 인프라 사업자의 사이버 대책을 조달하는 업체의 위험 요소를 파악할 방침. 2027년도에 기업 등의 사이버 대책 점검을 담당하는 정보 보안 사업자를 인증하는 제도를 도입. 경영 체제나 자본 관계, 정보 유출 위험을 검증.
- 경제산업성이 ‘26년도 중에 구체적인 제도 설계를 마무리하고, ’27년도부터 운용 개시를 지향. 안전성이 인정되면 정부의 인증을 통해 ‘공식 인정’을 부여. 인프라 사업자 등이 사이버 보안 위탁처를 검토할 때 판단 기준으로 활용할 예정.
- 심사 항목으로는 회사의 경영 체제나 자본 관계가 거론. 주주나 임원 중 보안상 우려되는 인물이 포함되어 있는지 조사하며, 국적 등도 확인. 종업원의 관리 체제, 사업에 사용하는 도구 정보 및 데이터의 보관처 등도 심사 대상으로 삼을 전망.
- 인간에 의한 정보 유출뿐만 아니라, 시스템을 해킹하기 위한 ‘백도어’ 대책 등도 확인. 인공지능(AI)이나 데이터 센터의 이용이 확대되고 있는 상황을 반영함.
- 일본정부는 7월에 결정한 일본성장전략에서 “필요한 방어 조치를 시행하고 있는 중요 인프라 사업자의 비율을 2031년도까지 100%로 한다”고 밝힘. 시스템 결함이나 취약점 점검과 같은 서비스를 통해 중요 정보를 다루는 기업의 수요가 예상.
- 정부나 민간기업에게 있어 사이버 대책을 담당하는 사업자의 정보 유출 위험성 등이 있다면 이는 리스크로 작용. 정부 차원에서 실태를 파악하고, 조달처를 결정할 때의 판단 자료를 제공하는 체계가 필요해지고 있음. 일본정부는 정보 보안 사업자에게 요구하는 대응 지침도 마련할 방침.
- 현재도 독립행정법인 정보처리추진기구(IPA)의 ‘정보 보안 서비스 심사 등록 제도’가 존재. 이는 어디까지나 보안 대책 등 서비스의 품질을 심사하는 제도일 뿐으로, 기업의 경영 실태나 정보 관리의 안전성을 파악하기에는 불충분.
- 사업자에 대한 외국 세력의 영향도 중요한 요소로 작용. 국가정보법을 통해 해외 거주자 등을 포함해 자국민 및 기업에 정보 활동 협력을 의무화하는 중국 등의 움직임이 염두에 있음.