Site icon

전 세계 사이버보안 규제 가이드

Dustin Hong

공공기관과 민간에서 이용하는 운용 기술 및 시스템은 이제 불가분한 관계로 상호 연결되어 있습니다. 그러나 최근의 사이버 범죄자들은 이러한 핵심 시스템을 공격하여 커다란 비용을 초래할 수 있습니다. 

2021년 중 대규모 보안 사고는 놀라울 정도의 규모였습니다. Solar Winds, Uber, 미국 증권거리위원회 등이 2021년에 공격당한 주요 목표물이었습니다. 사실 2021년 중 사이버보안 침해로 인한 비용과 그러한 공격의 수준 및 위험은 사상 최악이었습니다. 

유례없는 사이버보안 공격에 맞서려면 이제 마찬가지로 유례없는 수준으로 대응해야 합니다. 이를 위해서는 가장 먼저 데이터 보안에 적용되는 기본적 규칙과 사이버보안 규정을 검토해야 합니다. 

사이버보안 규제 

최근 Forbes에 따르면 반드시 이해해야 하지만 아무도 표면적으로 제기하지 않는 아래와 같은 사이버보안 관련 규칙이 존재합니다.

관련 법규는 사이버보안과 관련된 일반적인 우려를 다룹니다. 하지만 공격자들로부터 자신을 보호할 수 있는 역량을 갖추려면 먼저 세계 각지의 사이버보안 규제를 포괄적으로 이해해야 합니다. 

여러 국가에서는 사이버보안 위험이 경제에 미치는 영향을 인지하고 있습니다. 이 국가들의 법규에 따르면 조직의 수장이 이를 전적으로 준수하여 사이버보안 위험에 대응해야 합니다. 

위반 시에는 강력한 벌금이 부과될 뿐 아니라 더 이상 사업을 영위할 수 없게 될 수도 있습니다. 또한 2022년에도 대량의 공격이 일어날 것으로 예상됩니다. 

미국 연방 사이버보안법 

EU 회원국들과 마찬가지로 미국 역시 단일한 연방 차원의 사이버보안이나 개인정보 관련 법규가 없으며 주 별로 다른 사이버보안 법규를 시행합니다. 이렇게 명확성과 통일성이 부족한 관계로 주별 기관 및 기업은 혼란을 겪고 있습니다. 다만 미국 내 모든 조직이 준수해야 하는 핵심 연방 요건은 시행 중입니다. 그 중에서도 가장 중요한 것은 아래와 같습니다.

GLBA(Gramm-Leach-Bliley Act)

GLBA는 아래와 같은 미국 내 모든 금융기관에 적용되는 데이터 보안 및 개인정보 보호법입니다.

데이터 보안 규칙(16 C.F.R. Part 314)에 따르면 금융 조직은 철저한 데이터 보안 프로그램을 수립, 시행, 유지해야 합니다. 이러한 프로그램은 조직의 규모와 업무 복잡성에 따른 물리적, 행정적, 기술적 데이터 안전 조치를 실시해야 합니다. 

조직의 데이터 보안 프로그램은 명확히 정의하고 감사 시 공개해야 합니다. 이를테면 아래와 같은 사항을 명시해야 합니다.

GLBA의 중요성에 대해서는 여기에서 자세히 볼 수 있습니다. GLBA를 위반하는 금융기관은 아래와 같은 처벌을 받습니다.

의료보험 양도 및 책임성 법규(HIPAA)

HIPAA는 1996년부터 시행되었습니다. 이는 데이터 보안, 개인정보 보호, 데이터 침해 통보에 대한 연방 법규입니다. 아래와 같은 미국 내 의료분야 조직에 적용됩니다.

여기서 ‘적용대상 기관’이라 함은 제약회사나 보험사가 될 수 있습니다. 다만 HIPAA에 대한 준수 요건은 조직의 성격에 따라 달라집니다. 이러한 준수 요건은 아래와 같은 목적으로 적용됩니다.

위반 시 벌금 등 처벌은 위반의 성격에 따라 결정됩니다. Anthem, Inc.의 경우 2020년에 1,600만 달러의 벌금을 보건부에 납부했습니다. HIPAA 위반에 대한 벌금은 최근 크게 증가했습니다.

연방 정보보안 관리법(FISMA)

2002년부터 시행된 FISMA는 미국 연방기관에 적용되는 연방법입니다. 또한 전자정부 프로세스를 강화하는 것이 목적인 2002년 전자정부법에 속합니다. 

FISMA에 따르면 모든 연방기관은 적절한 정보보안 및 보호 프로그램을 수립, 실행, 관리해야 합니다. 데이터 보안과 관련하여 가장 중요한 연방 규정입니다. 

FISMA는 연방 데이터에 대한 보안 위험을 줄이면서 연방정부의 관련 비용을 절감하는 것이 목적입니다. 

FISMA의 주요 기본 보안 요건은 아래와 같은 것이 있습니다.

FISMA를 준수하면 연방 차원의 정보 보안을 강화할 수 있습니다. 또한 민간 협력사가 연방 계약을 따내는 데에도 도움이 됩니다. FISMA를 위반하는 기관과 기업은 명성이 영구적으로 훼손되며 연방 자금지원을 받지 못하고 벌금도 부과됩니다.

미국 국토안보부(D.H.S.)

DHS는 앞으로도 기업의 데이터 침해 시 조사를 실시하고 지원을 제공할까요? 그렇습니다. DHS는 사이버범죄가 발생할 시 피해자에게 아래와 같은 즉각적인 지원을 제공합니다.

이 과정에서 DHS는 연방기관 뿐 아니라 민간 보안 기업들과도 긴밀히 협력합니다. DHS는 2014년부터 연방 행정부 시스템에 대한 정보보안 정책을 관장할 권한을 부여받았습니다. 

2014년 연방 정보보안 선진화법(FISMA 2014)은 연방기관에 대한 데이터 보안 표준의 시행에 대한 DHS의 역할을 명문화했습니다.

미국 주별 사이버보안법

미국에는 연방법 외에도 주별로 시행되는 사이버보안법이 있습니다.

뉴욕과 캘리포니아는 주별 사이버보안법을 선도하는 지역들입니다. 

주요 주별 사이버보안 규제에는 아래와 같은 것이 있습니다.

미국 사이버보안법과 규제 – 자주 묻는 질문 

미국에서 활동하는 개인이나 조직이라면 아래와 같이 사이버보안 법규에 대한 궁금한 점이 있을 것입니다. 

이러한 질문에 대한 답변과 그 외 자세한 정보는 국제 국제 비교법 가이드(ICLG)의 상세 자료를 참고하십시오.

EU 사이버보안법

미국의 사이버보안 규제와 표준은 공공 및 민간 조직에게 명확한 운용 근거를 제시합니다. EU의 경우 유럽경제구역(EEA) 내에서 사업하는 기업에게 보다 구체적인 규제를 적용합니다. EU에서 사업하는 기업이라면 아래 3가지 주요 규제를 준수해야 합니다.

이 3개 규정은 모두 EU의 단일 디지털 시장 전략에 속합니다. 이 외에도 EU 내 활동 조직은 EU 사이버보안법을 준수해야 합니다. 2019년 6월 시행된 이 법에 따라 아래와 같은 조치가 도입되었습니다.

EU는 이러한 규제와 인증 제도를 통해 EU 전역에 걸친 거래를 단순화하면서 보호하고자 합니다. 또한 소비자들이 ICT 제품 및 서비스를 신뢰할 수 있도록 유도하면서 EU 사이버보안 시장의 성장을 촉진하려 합니다. 

그 외에도 EU는 온/오프라인 위험이 최근 증대되면서 2가지 법안을 제시하기도 했습니다.

이 전략들은 모두 EU 조직이 이용하는 네트워크 및 정보시스템의 회복력을 강화하는 것이 목적입니다. 

국제 사이버보안법

사이버공간에도 국제법이 적용될까요? 그렇습니다. 2001년에 통과된 사이버범죄 협약은 아래와 같은 조치를 통해 사이버범죄를 줄이고자 시도한 최초의 국제 사이버보안 협약이었습니다.

또한 이 UN 협약에는 국제 사이버공간에서 이루어지는 활동에 적용되는 규칙이 포함되어 있습니다. 다만 사이버공격에 대한 대응책은 다루지 않습니다. 동시에 이 협약에는 피영향 당사자들이 자구책으로 대응 조치를 실행하고 자신의 권리를 행사할 수 있다고 되어 있습니다.

하지만 사이버공간의 국제법은 특히 타국의 악의적 행위자들을 대상으로 적용하기가 쉽지 않습니다. 이러한 법은 주권국이 자신의 데이터, 사이버 인프라, 사이버 활동에 완전한 관할권을 갖는다고 명확히 제시합니다.

최신화의 중요성

사이버공간이라도 누구나 합법적이며 관련 규정을 준수하면서 활동해야 합니다. 사이버보안 법규는 지속적으로 발전하고 있습니다. 관련 기관에서는 신속하게 최신 기술과 위협에 대응하는 새로운 규정을 발표하고 있습니다. 기업과 기관의 리더는 반드시 전 세계적으로 새로이 적용되거나 제안되는 사이버보안 법규를 인지해야 합니다. 여기에서 최근의 사이버보안 법규와 정책 및 관련 소식에 대해 알아볼 수 있습니다.

이러한 법규와 제도는 민간 기업이나 공공기관의 사이버공간 내 주요 활동을 보호하고자 합니다. 그에 따라 소비자들에게 직접적인 영향을 미치므로 정부기관들도 당연히 이를 엄격하게 시행하고자 합니다. 

Exit mobile version