데이터 저장과 관련된 7가지 주요 규정 준수

블로그 해설:

데이터 저장 관행이 진화함에 따라 이를 관리하는 규제 프레임워크도 진화합니다. 빠른 디지털 전환으로 인해 데이터 저장과 관련된 규정 준수는 다양한 산업의 조직에 중요한 책임이 되었습니다. C-suite 임원, 데이터 책임자 및 IT 전문가의 경우 이러한 규정을 이해하는 것은 규정 준수를 보장하고 위험을 완화하며 귀중한 데이터 자산을 보호하는 데 매우 중요합니다. 이 블로그에서는 모든 조직이 데이터를 책임감 있고 합법적으로 관리하기 위해 알아야 할 7가지 주요 규정 준수 규정을 설명합니다.

데이터 저장에 영향을 미치는 몇 가지 주요 규정 준수 사항은 다음과 같습니다.

국제 규정

1. 지불 카드 산업 데이터 보안 표준 (PCI DSS)

2004년 Visa와 Mastercard와 같은 주요 카드 브랜드에서 제정한 PCI DSS(Payment Card Industry Data Security Standard)는 신용 카드와 직불 카드 거래를 사기와 데이터 도용으로부터 보호하도록 설계된 보안 표준 세트입니다. PCI SSC(Payment Card Industry Security Standards Council)에서 관리하는 PCI DSS 규정 준수는 카드 거래를 처리하는 기업에 필수적이지만 법률이 아닌 계약을 통해 시행됩니다. 카드 소유자 데이터를 저장, 처리 또는 전송하는 모든 조직에 적용됩니다. 조직은 카드 소유자 데이터가 손상되지 않도록 안전한 데이터 저장, 암호화 및 강력한 액세스 제어를 유지해야 합니다. PCI DSS 규정 준수는 기업의 거래량을 기준으로 XNUMX단계로 나뉘며 연간 평가 및 취약성 검사에 대한 요구 사항이 다양합니다.

2. ISO / IEC 27001

ISO/IEC 27001은 국제 표준화 기구(ISO)와 국제 전기 기술 위원회(IEC)가 제정한 정보 보안 관리 시스템에 대한 모범 사례를 설명하는 국제 표준입니다. 조직이 데이터 보안 프로세스를 수립, 구현, 유지 관리하고 지속적으로 개선할 수 있는 프레임워크를 제공합니다. 목표는 디지털, 종이 기반 또는 프로세스 중심이든 모든 형태에서 정보 기밀성, 무결성 및 가용성을 보호하는 것입니다. ISO 27001에는 액세스 제어, 위험 관리, 암호화 및 물리적 보안과 같은 영역을 포함하는 14개 보안 제어 섹션이 포함됩니다. 인증은 조직의 데이터 보호 및 규정 준수에 대한 의지를 보여줍니다. 인증 프로세스에는 ISMS 구축, 위험 식별 및 처리, 제어 구현 및 공인 기관의 감사가 포함됩니다.

미국 규정

1. 캘리포니아 소비자 개인정보 보호법(CCPA)

2018년에 제정된 캘리포니아 소비자 개인정보 보호법(CCPA)은 캘리포니아 거주자의 개인정보를 보호하기 위해 고안된 데이터 개인정보 보호법입니다. 종종 EU의 GDPR과 비교되며, 소비자에게 개인 데이터 판매를 거부할 수 있는 권리, 정보에 액세스하고 삭제할 수 있는 권리, 이러한 권리를 행사할 때 차별을 받지 않을 수 있는 권리 등 다양한 권리를 부여합니다. 이 법률에는 미성년자 데이터 보호를 위한 구체적인 조항도 포함되어 있으며, 기업이 명확한 "내 개인정보 판매 금지" 링크를 표시하도록 요구합니다. 연간 수익이 25만 달러를 초과하거나 100,000만 명 이상의 캘리포니아 거주자의 데이터를 처리하는 등 특정 기준을 충족하는 영리 기업에 적용됩니다. 의료와 같은 특정 분야는 HIPAA와 같은 다른 규정이 적용되는 보호된 건강 정보(PHI)를 처리할 때 CCPA 조항에서 면제됩니다. 그러나 이러한 범주에 속하지 않는 건강 관련 기업은 여전히 ​​CCPA 요구 사항의 적용을 받을 수 있습니다. 위반 시 최대 7,500달러의 벌금이 부과될 수 있습니다. CCPA는 다른 주의 유사한 입법에 영향을 줄 수 있는 선례를 만들었습니다.

2. 캘리포니아 개인정보보호법(CPRA)

캘리포니아 개인정보보호법(CCPA 2.0 또는 제안 24)은 캘리포니아 소비자 개인정보보호법(CCPA)을 강화하고 이를 기반으로 하는 캘리포니아만의 법률입니다. CPRA는 CCPA가 데이터 주체의 개인정보 보호 권리를 보호하기에 충분하지 않다는 우려를 해소하기 위해 제정되었습니다. CPRA는 민감한 개인정보를 알고, 삭제하고, 수정하고, 사용을 제한할 권리를 포함하여 소비자에게 새로운 정의, 사업 범주 및 권리를 도입합니다. 또한 데이터 최소화, 프로파일링 및 위험 평가 요구 사항을 강화합니다. CPRA는 특정 임계값을 충족하는 경우 캘리포니아에서 운영되거나 캘리포니아 주민과 상호 작용하는 사업에 적용됩니다. CCPA와 많은 유사점이 있지만 CPRA는 민감한 데이터, 동의 및 제7,500자 데이터 공유에 대한 보다 엄격한 규정을 도입하여 소비자에게 보다 강력한 개인정보 보호를 제공하는 것을 목표로 합니다. 위반에 대한 처벌은 여전히 ​​높으며 의도적인 위반에 대한 벌금은 최대 XNUMX달러에 이릅니다.

3. HIPAA (Health Insurance Portability and Accountability Act)

건강보험 양도성 및 책임법(HIPAA)은 미국에서 민감한 환자 정보를 보호하기 위한 의료 부문 조직에 대한 규정을 제시합니다. HIPAA는 의료 서비스 제공자와 그들의 사업 파트너가 전자 보호 건강 정보(ePHI)에 대한 보호 조치를 구현하도록 요구합니다. 여기에는 액세스 제어, 암호화, 최소 100년 동안 ePHI 보관 및 이러한 기록에 대한 액세스에 대한 감사 추적 유지가 포함됩니다. 위반 시 위반당 50,000달러에서 XNUMX달러에 이르는 벌금이 부과될 수 있습니다.

4. 서베인스-옥슬리법(SOX)

Sarbanes-Oxley 법(SOX)은 기업의 사기성 재무 보고로부터 투자자를 보호하기 위해 2002년에 제정된 미국 연방법입니다. 주로 기업의 재무 투명성과 책임성에 초점을 맞춥니다. 그러나 데이터 저장에도 상당한 영향을 미칩니다. SOX는 재무 공시의 투명성을 높이고 기업 거버넌스를 개선하며 재무 보고서의 정확성을 보장하는 것을 목표로 합니다. SOX에 따라 기업은 이메일을 포함한 재무 기록을 최소 XNUMX년 동안 저장해야 합니다. 데이터 저장 시스템은 기록이 변조 방지되고 정기적으로 백업되며 감사를 위해 액세스할 수 있도록 해야 합니다. SOX 위반은 임원에게 엄청난 벌금과 심지어 징역형으로 이어질 수 있으므로 안전하고 규정을 준수하는 데이터 저장 인프라의 필요성을 강조합니다.

EU 규정

1. 일반 데이터 보호 규정 (GDPR)

EU가 2018년에 제정한 일반 데이터 보호 규정(GDPR)은 EU 시민의 프라이버시와 개인 데이터를 보호하며, 위치에 관계없이 이 데이터를 처리하는 모든 조직에 적용됩니다. 이는 합법성, 데이터 최소화 및 보안과 같은 원칙을 강조하면서 개인에게 액세스, 수정, 삭제 및 데이터 처리에 대한 이의 제기와 같은 권리를 부여합니다. GDPR은 직접 및 간접 개인 식별자를 모두 포괄하며, 특히 의료 분야에서 민감한 데이터에 엄격한 보호를 적용합니다. 미준수 시 엄청난 벌금이 부과될 수 있습니다. 최대 20만 유로 또는 연간 글로벌 매출의 4%(둘 중 더 높은 금액)이며, 각 EU/EEA 국가의 감독 기관이 시행을 주도하고 유럽 데이터 보호 위원회(EDPB)가 감독합니다.

2. EU AI법

EU AI법은 세계 최초의 포괄적인 AI법으로, EU의 AI 기술이 안전하고 윤리적이며 기본권을 존중하도록 하는 것을 목표로 합니다. 이 법은 AI 시스템을 위험에 따라 네 가지 범주로 분류합니다. 수용할 수 없음(금지), 높음(의료 및 법 집행과 같이 엄격하게 규제됨), 제한적(투명성 요구), 최소(규제가 거의 없거나 전혀 없음). 고위험 AI 시스템은 투명하고 설명 가능해야 하며 인간의 감독을 받아야 합니다. 이 법은 집행을 위한 유럽 AI 위원회를 제안하며, 규칙을 위반하는 회사는 전 세계 매출의 최대 6% 또는 30만 유로의 벌금에 처할 수 있습니다.

특정 국가 또는 지역에 대한 규정은 세계 다른 지역에서 운영되는 회사에 더 광범위한 영향을 미칠 수 있습니다. 이는 특히 한 국가의 회사가 규정의 적용을 받는 다른 국가의 법인과 사업을 하는 경우에 해당합니다. 예를 들어 GDPR은 미국 법률이 아니지만 EU 거주자와 사업을 하는 미국 회사에 상당한 영향을 미칩니다.

히프 라인

복잡한 데이터 스토리지 규정 준수 규정을 탐색하는 것은 조직에 어려울 수 있습니다. 그러나 GDPR, HIPAA, PCI DSS, SOX, CCPA, FISMA, EU AI Act와 같은 이러한 주요 규정을 이해하는 것은 민감한 정보와 비즈니스 평판을 보호하고 비용이 많이 드는 벌금을 피하는 데 필수적입니다. 사전 예방적 규정 준수 전략을 구현하고, 이러한 규정을 일상 업무에 통합하고, 규정 및 해당 업데이트, 정기 감사, 직원 교육 및 강력한 데이터 관리 솔루션에 대한 투자에 대한 정보를 유지함으로써 조직은 데이터 침해와 관련된 위험을 완화하고 고객에 대한 신뢰를 구축할 수 있습니다.

자세히 알아보기: 전체 가이드에서는 소비자 데이터 개인정보 보호 규정을 준수하고 비용이 많이 드는 위반으로부터 비즈니스를 보호하기 위한 실행 가능한 단계를 제시합니다. 지금 읽어보세요!