NYDFS 사이버 보안 규정이란 무엇인가?
2017년 5월, 뉴욕주 금융서비스국(New York State Department of Financial Services, NYDFS)은 '23 NYCRR Part 500'이라 불리는 새로운 사이버 보안 규정을 공식 발표했습니다. 현재 이 규정은 전면 시행 단계에 접어들었지만, 구체적인 내용과 적용 범위를 정확히 알고 있는 사람은 많지 않습니다.
발표 이후 여러 차례 개정이 이루어졌고, 법률 용어가 난해해 해석에 어려움을 겪는 경우도 있습니다. 그렇다면 NYDFS 사이버 보안 규정은 정확히 어떤 내용을 담고 있으며, 개인과 기업에게 어떤 영향을 미칠까요? 지금부터 자세히 살펴보겠습니다.
규정의 핵심 목적
NYDFS 사이버 보안 규정은 뉴욕주 금융 서비스 분야의 보안 요구사항을 명시한 법령입니다. 유럽연합(EU)의 일반개인정보보호법(GDPR)과 마찬가지로, 기업들이 특정 보안 기준을 준수하도록 함으로써 시민들의 데이터를 보호하는 것이 목적입니다. 이때 기준의 상당 부분은 미국 국립표준기술연구소(NIST)의 사이버 보안 프레임워크에서 비롯되었습니다.
뉴욕 금융회사의 주요 의무사항
이 규정에 따라 뉴욕의 금융 회사들은 다음과 같은 의무를 이행해야 합니다.
- IT 시스템의 보안 및 데이터 프라이버시 정기 검토
- 사이버 보안 관련 사건 기록 후 최소 5년간 보관
- 더 이상 필요하지 않은 개인 정보를 안전하게 삭제하기 위한 정책과 절차 마련
- 개인 식별 정보(PII) 접근 권한 제한 및 정기적 권한 검토
- 사이버 보안 사고의 탐지, 대응, 복구 방법을 담은 상세한 문서화된 계획 수립
- 사이버 보안 사고 발생 시 72시간 이내 NYDFS 통보
유사 법령과의 차이점
일부 유사한 법령들과 달리, NYDFS 사이버 보안 규정은 보안 및 신고 계획에 반드시 포함해야 할 세부 사항까지 구체적으로 명시하고 있습니다. 또한 기업 내부 운영뿐 아니라 거래하는 제3자(외부 업체)의 보안 수준까지 확보하도록 요구합니다.
이러한 요구사항 덕분에 이 규정은 미국 주 단위 법령 중 가장 포괄적이고 엄격한 수준으로 꼽힙니다. 위반 시 막대한 벌금이 부과될 수 있지만, 처벌의 구체적인 범위는 아직 명확하지 않은 상황입니다.
NYDFS 사이버 보안 규정의 적용 대상은 누구인가?
이 규정은 NYDFS로부터 라이선스(허가)가 필요한 모든 개인과 기관에 적용됩니다. 따라서 뉴욕의 금융·보험 회사 전반이 해당되며, 구체적으로는 다음과 같습니다.
- 은행
- 신용조합(크레딧 유니언)
- 투자 회사
- 등록 대출업체
- 모기지 브로커(주택담보대출 중개인)
- 보험 회사
- 저축대부조합
여기에는 현지 기업은 물론, 뉴욕에서 영업 허가를 받은 외국 기업도 포함됩니다. 예를 들어 도이치뱅크(Deutsche Bank)는 독일 기업이지만 뉴욕시에서 영업을 하고 있으므로 23 NYCRR Part 500을 준수해야 합니다.
적용 제외 대상
물론 예외 조항도 존재합니다. 직원 수가 10명 미만이거나, 최근 3년간 뉴욕에서 발생한 연간 매출이 500만 달러 미만이거나, 연말 총자산이 1,000만 달러 미만인 회사는 적용이 면제됩니다. 또한 개인 정보를 저장하거나 처리하지 않는 사업장도 제외되는데, 금융 서비스 회사의 경우 해당 사례는 드물 것입니다.
소비자에게 미치는 영향은 무엇인가?
뉴욕에 거주하거나 뉴욕에서 은행 거래를 하는 사람이라면, 이용 중인 금융기관은 대부분 이 규정의 적용을 받을 가능성이 높습니다. 설령 뉴욕에 살지 않더라도, 은행이 뉴욕에 지점을 두고 재산 기준을 충족한다면 규정을 준수해야 합니다.
거래 방식의 변화
규정상 고객이 별도로 취해야 할 조치는 없습니다. 다만 금융기관이나 보험사가 보안 체계를 강화하는 과정에서 몇 가지 변화를 경험할 수 있습니다. 예를 들어 다중 인증(MFA) 같은 추가 보안 절차를 이용하거나, 계정 권한 설정을 조정해야 할 수 있습니다.
정보 공유와 통지
이 규정의 기반이 된 NIST 사이버 보안 프레임워크는 시의적절한 정보 공유를 강조합니다. 이에 따라 은행이나 보험사에서 사고가 발생하면 고객에게 통지해야 할 수 있습니다. 고객이 특별히 대응해야 하는 경우는 많지 않겠지만, 이런 종류의 알림을 받게 될 가능성은 염두에 두는 것이 좋습니다.
스스로 실천해야 할 보안 습관
23 NYCRR Part 500에 따른 법적 의무가 없더라도, 금융 정보를 다룰 때는 각별히 주의하는 것이 바람직합니다. 항상 고유하고 강력한 비밀번호를 사용하고, 가능한 곳에서는 다중 인증(MFA)을 활성화하며, 출처를 알 수 없는 곳에는 개인 식별 정보(PII)를 제공하지 않아야 합니다. 이번 규정의 엄격함은 그만큼 이러한 문제가 중요하다는 뜻이므로, 평소 보안 수칙을 생활화하는 것이 좋습니다.
정부의 사이버 보안 대응이 강화되고 있다
NYDFS 사이버 보안 규정은 최근 지방 정부들이 사이버 보안 관련 법률을 잇달아 제정한 여러 사례 중 하나입니다. 디지털 기술이 일상생활에 깊숙이 자리 잡을수록 이런 규정은 더욱 늘어날 것입니다.
소비자와 기업 모두 이러한 규정 변화를 꾸준히 확인하고 준수 여부를 점검해야 합니다. 처음에는 번거롭게 느껴질 수 있지만, 더 안전한 디지털 환경으로 나아가기 위한 필수적인 과정입니다.