뉴욕 사이버보안 규정(23 NYCRR 500) 면제 신청, 언제 어떻게 해야 할까?
뉴욕 금융서비스국(NYDFS)이 시행하는 사이버보안 규정 '23 NYCRR Part 500'은 금융권 기업에 강력한 보안 의무를 부과하지만, 일정 규모 이하의 소규모 기업에는 예외가 인정됩니다. 이 글에서는 면제 대상 기준과 신청 절차, 규정의 핵심 내용을 한눈에 정리했습니다.
23 NYCRR 500이란 무엇인가?
'23 NYCRR Part 500'은 뉴욕주 금융서비스국(NYDFS)이 발표한 사이버보안 규정입니다. 이 규정은 금융기관이 고객 정보와 정보기술(IT) 시스템을 안전하게 보호할 수 있도록 최소 보안 기준을 제시하며, 약 20년 만에 처음 마련된 뉴욕 금융권 사이버보안 규정이라는 점에서 큰 의미를 갖습니다.
NYDFS(뉴욕 금융서비스국)란?
NYDFS는 뉴욕주의 금융 감독 기관으로, 은행과 보험사 등 금융회사를 감독·관리합니다. 규정의 최고 책임자는 금융서비스 감독관(Superintendent of Financial Services)이며, 주요 근거 법령은 금융서비스법(Financial Services Law), 공식 웹사이트는 www.dfs.ny.gov입니다.
규제 대상 기업(Covered Entity)은 누구인가?
규정에서 말하는 '커버드 엔티티(covered entity)'는 NYDFS의 허가·등록·인가를 받아 운영되거나 동 국의 감독을 받는 모든 기업을 의미합니다. 대표적인 대상은 다음과 같습니다.
- 은행 및 금융서비스 회사
- 신용조합(credit union)
- 생명보험사를 포함한 각종 보험회사
- 모기지(주택담보대출) 관련 사업자
또한 규제 대상 기업에 서비스를 제공하는 비규제 제3자 서비스 제공업체 역시 간접적으로 이 규정의 영향을 받을 수 있습니다.
최고위 임원(Senior Officer)의 정의
규정상 최고위 임원이란 커버드 엔티티의 정보 시스템을 관리·운영·보호하고 관련 위험을 총괄하는 개인 또는 집단을 의미합니다. 준수 인증서는 이러한 최고위 임원이 서명해야 효력이 인정됩니다.
소규모 기업 면제 기준
아래 세 가지 중 하나라도 해당하는 기업은 일부 의무 조항에서 면제받을 수 있습니다.
- 직원 수가 10명 이하인 경우
- 최근 3년간 뉴욕 내 사업에서 발생한 연간 총수익이 500만 달러 미만인 경우
- 연말 기준 자산 총액이 1,000만 달러 미만인 경우
다만 면제를 받더라도 위험 평가, 접근 통제 등 핵심 통제 항목은 계속 준수해야 하므로 주의가 필요합니다.
면제 신청은 언제, 어떻게 하나요?
면제 신청은 NYDFS 사이버보안 포털을 통해 진행됩니다. 기업은 면제를 원하는 각 조항별로 해당 의무를 이행할 수 없는 구체적인 사유를 명시해야 하며, 이 절차는 연례 준수 인증서 제출과 함께 처리됩니다.
규정은 2017년 3월 1일부터 시행되었고, 기업들은 공표된 유예 기간 내에 단계적으로 의무를 충족해야 했습니다. 매년 준수 여부를 증명하는 인증서는 정해진 기한까지 제출해야 하며, 면제 요건이 더 이상 적용되지 않게 되면 즉시 전체 의무를 이행해야 합니다.
교육과 모니터링: 섹션 500.14의 요건
규정 파트 B의 요건 중 교육과 모니터링 관련 사항은 섹션 500.14에 규정되어 있습니다.
- 모든 직원을 대상으로 정기적인 사이버보안 교육을 실시해야 합니다.
- 교육 내용은 위험 평가(risk assessment)에서 도출된 위험 요소를 반영하여 설계해야 합니다.
DFS 준수 인증이란?
NYDFS의 감독을 받는 기업은 매년 사이버보안 의무 준수 여부를 확인하는 'DFS 사이버보안 준수 인증서'를 제출해야 합니다. 이 인증서는 최고위 임원의 서명을 받아 제출하며, 허위 인증 시 제재의 근거가 될 수 있습니다.
뉴욕주 차원의 사이버보안 체계
뉴욕주 정보기술서비스국(ITS) 산하 최고정보보안관리실(CISO)은 주 전체의 사이버보안 정책·표준·프로그램을 총괄하며, 주 정보 인프라 보호 업무를 조율합니다. 금융권 규정과 함께 뉴욕주의 다층적 보안 체계를 이루고 있습니다.