데이터 유출 알림 법규: 강력하고 준수된 대응 전략 수립

매년 보고되는 데이터 유출 건수가 꾸준히 증가하면서, 뉴스에 너무 자주 등장해 모두 파악하기 어려울 정도입니다. 2017년 에퀴팩스(Equifax)는 대규모 유출로 약 1억 5천만 고객 기록(미국 인구의 거의 절반)이 도난당했습니다. 2018년 메리어트 인터내셔널(Marriott International)은 수억 고객 기록(개인정보, 신용카드 번호, 여권 번호 포함)이 유출되는 사고를 겪었습니다.

데이터 유출은 대기업과 중소기업, 유명 기업과 무명 기업을 가리지 않고 모든 유형의 조직에 영향을 미칩니다. 대기업 유출이 뉴스가 되지만, 취약한 중소기업이 사이버 범죄자의 표적이 되는 경우는 잘 알려지지 않습니다. 대부분 피싱 공격이나 멀웨어 같은 해킹 유형을 포함하며, 공격자가 보호되거나 비공개 정보에 성공적으로 접근하는 경우입니다.

데이터 유출 알림 법규 – 복잡한 현실

귀사의 제조 기업이 유출 사고를 당하면 어떻게 하시겠습니까? 즉시 수사기관에 신고해야 할까요? 고객에게 통지해야 할까요? 그 외 통지 대상은 누구인가요? 얼마나 시간이 있나요?

답은 복잡합니다. 포괄적인 연방법은 없지만, 각 주와 준주마다 자체 데이터 유출 알림 법이 있습니다. 이 법들은 유출을 겪거나 의심하는 누구에게나 개인식별정보 관련 사항을 고객에게 통지하도록 요구합니다. 또한 수사기관 통지와 상황 수습을 위한 구체적 조치를 요구합니다. 하지만 주마다 다루는 정보 유형, 통지 시기, 보고 기준이 크게 다릅니다. 준수 대상과 개인정보의 정의조차 주마다 다릅니다. 복잡성을 더하는 것은 일부 주에서 최근 법을 개정했다는 점입니다.

데이터 유출 신고에 얼마나 시간이 있나?

대부분의 데이터 알림 법은 기업이 '부당한 지체 없이' 고객에게 통지하도록 요구합니다. 기간은 주와 산업 분야마다 다릅니다. 데이터 유출 대응 시 제조업체는 자사, 업계 타사, 고객, 수사기관에 대한 경쟁적 책임을 가집니다. 수사기관이 유출을 조사 중이라 일시적으로 은폐해야 하는 상황도 있습니다.

데이터 유출 발생 전 대비하기

데이터 유출 알림 계획을 다른 재난 계획처럼 대하세요 – 기다리지 마세요! 데이터 유출에 대한 단일 표준 대응이 없으므로, 미국 제조업체는 자사에 적용되는 구체적인 주 및 연방법을 이해해야 합니다. 제조업체는 사업을 영위하는 모든 주의 법을 고려해야 합니다.

다행히 제조업체가 참고할 훌륭한 리소스가 여러 있습니다. 여러 기관이 주 데이터 유출 법을 요약 제공합니다: 전국주입법회의(NCSL), IT 거버넌스, 퍼킨스 코이(Perkins Coie) 등.

제조 기업이 데이터 보호 법규를 준수하도록 하려면, 자사의 주와 산업에 적용되는 현재 규정을 인지해야 합니다. 데이터 유출은 항상 스트레스 상황입니다. 의무 인지와 사전 계획은 스트레스를 줄이고 막대한 벌금을 피하는 데 도움이 됩니다. 몇 가지 팁:

• 자사를 커버하는 주 및 산업 법규 식별하기
• 자사에 영향을 주는 데이터 유출 알림 요건과 최악 시나리오에서 이를 충족할 프로세스 문서화하기
• 자사에 영향을 주는 유출 알림 요건 중심의 정책 수립하기
• 중복 규정이 있으면 가장 엄격한 것을 회사 정책으로 채택하기
• 알림 편지와 이메일 초안 미리 작성하기
• 데이터 유출 시 명확한 커뮤니케이션 전략 수립하고, 필요시 법무 및 홍보 부서 검토 받기

MEP 내셔널 네트워크가 도와드립니다

귀사 주의 데이터 유출 알림 법규 이해와 기타 사이버보안 질문에 대해, 50개 주와 푸에르토리코에 있는 51개 MEP 센터로 구성된 MEP 내셔널 네트워크^TM에 연락하실 수 있습니다.