침해 후 알림 가이드

2022년 2월 22일 | 블로그, 어려운

지금 CyberHoot으로 귀하의 사업을 보호하세요!!!

Craig Taylor 공동 저자

끊임없이 변화하는 온라인 세상에서 데이터 유출 사고는 빈도와 피해 규모 면에서 지속적으로 증가하고 있습니다. 사이버 보안 위협은 소셜 엔지니어링, 자격 증명 도용, 피싱 공격, 웹 애플리케이션 공격 등 다양한 형태로 나타납니다. 조직에서 사이버 보안 사고가 발생할 경우, 당사의 사이버 보안 사고 대응 가이드를 통해 필요한 조치를 단계별로 안내해 드립니다.

이 문서는 귀하가 중대한 데이터 침해 발생을 확인했으며, 중대한 데이터 침해를 보여주는 증거로 인해 법 집행 기관에 신고했다는 가정 하에 작성되었습니다. 이러한 상황에서 CyberHoot은 적절한 침해 후 신고 절차를 안내합니다. 이 가이드를 따르면 기업은 사이버 보안 사고 신고 절차를 효율적이고 합법적이며 효과적으로 처리할 수 있습니다.

침해 알림 시작 지점

기업에서 데이터 유출이 발생하면 먼저 법 집행 기관에 신고해야 합니다. 유출 규모나 범위로 인해 법 집행 기관이 개입하는 경우, 영향을 받는 기업과 개인에게 신고할 수 있는 시기와 제한 사항이 법 집행 기관에 의해 결정됩니다. 조사가 진행되는 동안에는 항상 법 집행 기관의 요건을 준수하십시오.

둘째로, 법적 요구 사항을 확인해야 합니다. 모든 주, 워싱턴 D.C., 푸에르토리코, 그리고 버진아일랜드는 비공개 개인 정보(NPPI) 유출 사고 발생 시 신고를 의무화하는 법률을 제정했습니다. 또한, 유출된 정보의 종류에 따라 적용되는 다른 법률이나 규정이 있을 수 있습니다. 사업에 적용되는 구체적인 요구 사항은 해당 주 및 연방 법률 또는 규정을 확인하십시오.

침해 대응 과정에서 변호사를 선임하면, 피해로부터 자신을 보호할 수 있는 중요한 변호사-의뢰인 특권을 누릴 수 있습니다. 조사 과정에서 변호사가 조사, 증거 수집, 그리고 잠재적 침해 관련 논의에 더 빨리 참여할수록 침해에 대한 당신의 설명은 더욱 명확해집니다. 여기서 중요한 점은 침해로 인해 피해를 입은 기업과 개인을 보호해야 한다는 것입니다. 변호사-의뢰인 특권 뒤에 숨는 것은 바람직하지 않습니다. 하지만 어떤 일이, 언제, 왜 발생했는지, 그리고 어떻게 기업과 노출된 사람들을 추가적인 피해로부터 보호할 수 있는지에 대한 설명은 통제해야 합니다. 변호사는 이러한 과정에서 중요한 지침과 보호를 제공할 수 있습니다.

침해 알림에서 전달해야 하는 내용

해당 주의 침해 통지법은 일반적으로 침해 통지서에 어떤 정보를 제공해야 하고 어떤 정보를 제공하지 않아야 하는지를 규정합니다. 일반적으로 주법에 달리 규정되어 있지 않은 한, 다음을 포함하여 침해에 대해 알고 있는 내용을 명확하게 설명하는 것이 좋습니다.

- 어떻게 이런 일이 일어났는가.
- 어떤 정보가 수집되었는가.
- 도둑들이 정보를 어떻게 사용했는지(알고 있다면).
- 상황을 해결하기 위해 어떤 조치를 취했습니까?
- 무료 신용 모니터링 서비스 제공 등 개인을 보호하기 위해 어떤 조치를 취하고 있습니까? (CyberHoot에서는 신용 동결을 권장합니다. 신원 도용 상황을 방지하기 위해)
- 조직 내 관련 연락처에 연락하는 방법

추가 고려 사항

만약 정보 유출로 인해 500건 이상의 개인 의료 기록이 유출되었다면, 의료 정보 유출 통지 규정 에 따라 보건복지부(DHHS) 에 신고해야 할 의무가 있습니다 . 또한 연방거래위원회(FTC)와 경우에 따라 언론에도 신고해야 할 수 있습니다. 특히 언론의 주목을 받을 만한 대규모 정보 유출 사건의 경우, 언론 대응에 앞서 홍보 회사와 상담하는 것이 좋습니다.

어떤 데이터가 노출되거나 도난당했는지에 따라 고객에게 통지해야 할 구체적인 의무가 있을 수 있습니다. 일부 마스터 서비스 계약(MSA)은 특정 기간 내에 위반 사실을 통지하도록 요구하므로, 특정 당사자에게 통지해야 할 법적 의무가 곧 만료될 수 있습니다. HIPAA 데이터 또는 비공개 개인 정보가 유출된 경우, 관련 법률 보고 의무가 있습니다. 이 시점에서 규정 준수 및 계약 의무를 준수하려면 개인정보 보호 전문가, HIPAA 전문가, 법률 및 계약 팀과 상의하십시오.

통지받은 당사자에게 보낼 유용한 정보

노출된 정보의 유형을 고려하여 어떤 조치를 취할 수 있는지 사람들에게 알리고 관련 연락처 정보를 제공하는 것이 중요합니다. 예를 들어, 사회보장번호가 도용된 사람은 신용정보기관에 연락하여 사기 경보나 신용 동결 신용 보고서에 기재됩니다. IdentityTheft.gov/데이터 침해 유출된 개인 정보의 유형에 따라 침해 후 적절한 후속 조치에 대한 정보를 확인하세요. 이 정보를 침해 통지서에 첨부 파일로 추가하는 것을 고려해 보세요.

포함할 정보

신원 도용으로부터 복구하는 방법에 대한 최신 정보를 포함하십시오. 복구 단계 목록은 소비자에게 다음을 참조하십시오. IdentityTheft.gov.
해당 사건을 담당하는 법 집행 기관에 대한 정보를 제공하는 것을 고려해 보세요. 법 집행 기관이 동의하는 경우, 해당 정보를 제공해 주시기 바랍니다. 신원 도용 피해자는 법 집행 기관에 중요한 정보를 제공하는 경우가 많습니다.
자신의 정보가 오용되었다는 사실을 발견한 사람들에게 IdentityTheft.gov를 사용하여 FTC에 신고하도록 권장하세요. 정체성피트.고(ft.gov) 노출된 정보의 유형에 따라 개별화된 복구 계획을 수립합니다. 또한, 각 신고는 민사 및 형사 사법 기관에서 이용할 수 있는 안전한 온라인 데이터베이스인 소비자 감시 네트워크(Consumer Sentinel Network)에 입력됩니다.
향후 소비자에게 어떻게 연락할지 설명하세요. 예를 들어, 소비자에게 우편으로만 연락할 경우 그렇게 명시하세요. 침해 사고에 대해 전화로 연락하지 않을 경우, 미리 알리세요. 이러한 정보는 피해자가 침해 사고와 관련된 피싱 사기를 피하는 데 도움이 될 뿐만 아니라 회사의 평판을 보호하는 데에도 도움이 될 수 있습니다. 일부 기업은 소비자에게 웹사이트에 업데이트가 게시될 것이라고 안내합니다. 이를 통해 소비자는 언제든지 최신 정보를 확인할 수 있습니다.