기업이 개인정보에 대한 통제권을 상실하면 시계는 빠르게 돌아가기 시작합니다. 영국 및 EU GDPR에 따라 **GDPR 데이터 침해 72시간 규정**은 규제 당국에 무슨 일이 발생했는지 알려야 하는 확정된 기한을 설정합니다. 데이터가 노출된 사람들에게도 이 규정은 중요합니다. 왜냐하면 이 규정이 여러분이 무엇을, 언제 듣게 되는지, 그리고 다음에 무엇을 해야 하는지를 규정하기 때문입니다. 이 가이드는 기업의 입장과 여러분의 입장 모두에서 그 과정을 쉬운 언어로 설명합니다. ## 72시간 시계는 언제 시작되는가 72시간의 기간은 하나의 개념, 즉 인지(awareness)를 중심으로 구성됩니다. GDPR 제33조에 따라, 데이터 컨트롤러는 개인정보 침해를 인지한 때로부터 72시간 이내에 관련 감독 기관에 보고해야 합니다. 영국에서는 해당 기관이 정보위원회(ICO)입니다. EU에서는 해당 회원국의 데이터 보호 당국입니다. 종종 혼란을 야기하는 두 가지 점이 있습니다: - **시계는 공격 시점이 아니라 인지 시점에 시작됩니다.** 침해는 며칠 또는 몇 주 전에 발생했을 수 있습니다. 기한은 조직이 개인정보가 침해되었다는 합리적인 수준의 확신을 가질 때부터 시작됩니다. - **기한은 조사를 위한 유예 기간이 아닙니다.** 조직은 신속하게 행동해야 합니다. 전체 세부 사항이 아직 확보되지 않은 경우, 일반적인 접근 방식은 알려진 내용을 보고하고 추가 정보를 단계적으로 제공하는 것입니다. 합리적인 정당화 없이 기한을 놓치는 것 자체가 제33조 위반이 될 수 있으며, 이는 컨트롤러를 집행 조치에 노출시킵니다. 실무적 참고 사항: 72시간에는 주말과 공휴일이 포함됩니다. 침해는 업무 시간을 기다리지 않으므로, 좋은 의도보다 검증된 사고 대응 계획이 더 중요합니다. ## 기업이 ICO와 영향을 받는 사람들에게 알려야 하는 것 규제 당국에 통지하는 것과 개인에게 통지하는 것은 서로 다른 발동 조건을 가진 두 가지 별개의 의무입니다. **ICO에 알리는 것.** 침해가 사람들의 권리와 자유에 대한 위험을 초래할 가능성이 낮지 않은 한 보고가 일반적으로 요구됩니다. 통지에는 침해의 성격, 영향을 받는 사람과 기록의 범주 및 대략적인 수, 예상되는 결과, 그리고 대응을 위해 취해졌거나 제안된 조치가 설명되어야 합니다. 또한 조직의 데이터 보호 담당자의 연락처 정보도 포함되어야 합니다. **개인에게 알리는 것.** 침해가 사람들에게 *높은* 위험을 초래할 가능성이 있는 경우, 조직은 지체 없이 영향을 받는 사람들에게도 알려야 합니다. 해당 메시지는 명확한 언어로 작성되어야 하며, 무슨 일이 발생했는지, 예상되는 결과는 무엇인지, 그리고 사람들이 자신을 보호하기 위해 취할 수 있는 조치는 무엇인지 설명해야 합니다. 개인에게 연락하기 위한 기준은 규제 당국에 연락하기 위한 기준보다 높습니다. 도난당한 여권 스캔본, 건강 기록 또는 금융 세부 정보는 이 기준을 comfortably 상회하는 경향이 있습니다. [LT Group 여권 데이터의 Deadlock 랜섬웨어 유출](/en/deadlock-ransomware-leak-lt-group-passport-data)과 같은 사례는 신분 증명서가 어떻게 범죄자들의 손에 들어갈 수 있는지를 보여주며, 이는 바로 높은 위험을 시사하는 노출 유형입니다. 조직은 또한 보고하지 않기로 결정한 경우를 포함하여 모든 침해에 대한 내부 기록을 그 이유와 함께 유지해야 합니다. ## 데이터가 노출되었을 때 해야 할 일 침해 통지서는 추상적으로 느껴질 수 있습니다. 다음은 같은 날 처리할 수 있는 구체적인 체크리스트입니다. 1. **영향을 받은 비밀번호와 재사용된 비밀번호를 모두 변경하세요.** 동일한 비밀번호가 다른 계정을 보호하고 있다면 그것들도 변경하세요. 각 서비스마다 고유한 비밀번호를 사용하고, 이상적으로는 비밀번호 관리자에 저장하세요. 2. **다중 인증을 활성화하세요.** 가능하면 문자 메시지보다 인증 앱이나 하드웨어 키를 선호하세요. 3. **통지서를 주의 깊게 읽으세요.** 어떤 데이터 유형이 관련되었는지 확인하세요: 연락처 정보, 신분 증명서, 건강 또는 금융 정보. 이것이 우선순위를 정해야 할 위험을 알려줍니다. 4. **계정을 주시하세요.** 은행 및 카드 명세서를 확인하고, 금융 데이터나 신분 증명서가 관련된 경우 신용 모니터링 서비스를 고려하세요. 5. **예상치 못한 연락에 대해 회의적인 태도를 가지세요.** 침해를 언급하는 이메일, 문자 또는 전화는 진짜일 수도 있고, 그것을 미끼로 사용하는 사기일 수도 있습니다. 6. **정보 접근 요청(subject access request)을 하세요.** 영국 및 EU GDPR에 따라 귀하는 조직에 자신에 대해 보유하고 있는 개인정보가 무엇인지, 그리고 많은 경우 그것이 어떻게 사용되고 있는지 물어볼 수 있습니다. 이는 귀하의 실제 노출을 이해하는 데 도움이 되고 기록을 남깁니다. 7. **불만 제기 경로를 알아두세요.** 회사가 사건을 잘못 처리했다고 느끼면, 영국에서는 ICO에, EU에서는 해당 국가의 데이터 보호 당국에 제기할 수 있습니다. ## 도난당한 데이터가 후속 사기를 부추기는 이유 최초의 침해는 종종 첫 단계에 불과합니다. 도난당한 데이터는 재판매 및 협박 가치가 있으며, 공격자들은 점점 더 이를 개인에게 직접 압박을 가하는 데 사용하고 있습니다. [AnMed 랜섬웨어 공격과 환자 협박 사기](/en/anmed-ransomware-attack-sparks-patient-extortion-scam)에 대한 보도는 이것이 어떻게 작동하는지 보여줍니다: 보도에 따르면 공격자들이 도난당한 환자 데이터를 사용하여 해당 데이터의 주인인 사람들을 대상으로 맞춤형 협박 시도를 했을 수 있습니다. 개인 정보는 위협을 신뢰할 수 있게 만들어 주며, 이것이 이러한 메시지가 그토록 효과적일 수 있는 이유입니다. 유출은 공개될 수도 있습니다. [ShinyHunters가 도난당한 One Medical 데이터 8.8TB를 유출한](/en/shinyhunters-leaks-8-8tb-of-stolen-one-medical-data) 사례에서는 협박 압력 후 데이터가 공개되었으며, 이는 누구나 잠재적으로 접근할 수 있음을 의미합니다. 정보가 일단 공개되면, 원래 사건이 잊힌 후에도 오랫동안 피싱, 사칭 및 표적 사기에 사용될 수 있습니다. 이것이 신속한 통지가 중요한 이유입니다. 사람들이 더 빨리 알수록, 더 빨리 계정을 잠그고 사기를 사기로 인식할 수 있습니다. [자이푸르 랜섬웨어 사례](/en/jaipur-ransomware-attack-exposes-small-business-gaps)가 보여주듯이 소규모 조직도 예외가 아닙니다: 랜섬웨어는 회사 규모에 따라 차별하지 않으며, 전담 보안 인력이 없는 팀도 여전히 대응 계획이 필요합니다. ## 이것이 귀하에게 의미하는 것 법은 기업이 침해를 인지한 후 72시간 이내에 규제 당국에 알리고, 귀하에 대한 위험이 높은 경우 귀하에게 직접 알릴 것이라는 합리적인 기대를 부여합니다. 그것이 귀하의 데이터가 안전하게 유지된다는 것을 보장하지는 않으며, 유출을 되돌릴 수도 없습니다. 피해를 제한하는 것은 귀하 자신의 대응입니다. 사업을 운영하는 경우, 72시간을 계획 제약으로 취급하세요: 침해가 보고 대상인지 결정하는 사람이 누구인지, ICO에 연락하는 사람이 누구인지, 그리고 영향을 받는 고객에게 신속하게 연락할 방법을 알아두세요. ## 핵심 요점 - 72시간 기간은 조직이 침해를 인지할 때 시작되며, 침해가 시작된 때가 아닙니다. - 사람들에 대한 위험이 낮지 않은 한 ICO 또는 EU 당국에 알려야 하며, 위험이 높은 경우 개인에게 알려야 합니다. - 통지서를 받는 즉시 비밀번호를 변경하고, 다중 인증을 활성화하며, 계정을 모니터링하세요. - 범죄자들이 협박과 피싱에 도난당한 데이터를 재사용하므로, 침해를 언급하는 모든 메시지를 주의하여 대하세요. - 조직이 보유하고 있는 정보를 확인하기 위해 데이터 요청 권리를 사용하세요. GDPR 데이터 침해 72시간 규정을 이해하면 기업이 적절하게 행동하고 있는지 판단하는 데 도움이 되지만, 최선의 보호는 귀하 자신이 신속하게 행동하는 것입니다. 오늘 계정을 안전하게 하고, 후속 사기에 주의하며, 위의 AnMed 및 ShinyHunters 보도를 읽어 침해된 데이터가 실제로 어떻게 오용되는지 확인하세요.