La Legge sulla protezione delle informazioni personali (PIPA) è la principale legge sudcoreana sulla privacy per le organizzazioni che raccolgono, usano, archiviano o condividono dati personali. Stabilisce regole per il trattamento lecito, la minimizzazione dei dati, le misure di sicurezza, i limiti di conservazione e la notifica delle violazioni. In pratica, la PIPA considera la protezione dei dati personali sia un obbligo legale sia un dovere tecnico, non solo una questione di policy.
Nella sicurezza informatica, la PIPA è importante perché una violazione può attivare una revisione regolatoria, sanzioni e misure di risposta obbligatorie. I difensori la usano come quadro di riferimento per il controllo degli accessi, la crittografia, la registrazione dei log, la supervisione dei fornitori e la pianificazione della risposta agli incidenti. Gli attaccanti prendono di mira i sistemi coperti dalla PIPA perché spesso contengono dati di identità, fatturazione e account che possono essere usati per frodi o estorsioni. Quando si verifica un incidente, le organizzazioni devono dimostrare che i controlli hanno funzionato e che l'esposizione è stata gestita in modo rapido e responsabile.